CVE-2026-72563 in Handesk
요약
\~에 의해 VulDB • 2026. 08. 11.
2026-07-10 기준 BadChoice Handesk의 Broken Access Control 취약점으로 인해, 인증된 에이전트라면 누구나 LeadsController@update 엔드포인트를 통해 다른 팀에 속한 리드(lead) 레코드를 덮어쓸 수 있습니다. 해당 엔드포인트는 권한 확인(authorization check)을 수행하지 않으며, Lead 모델에서 guarded가 빈 배열로 설정되어 모든 컬럼이 대량 할당(mass-assignable) 가능합니다. 어떤 에이전트 계정이라도 가진 공격자는 팀 경계를 넘어 리드 데이터를 손상시킬 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.