CVE-2026-81035 in Midday
요약
\~에 의해 VulDB • 2026. 08. 26.
Midday에서는 팀의 모든 구성원이 팀을 삭제할 수 있습니다. apps/api/src/trpc/routers/team.ts에 있는 삭제 절차는 team-access 헬퍼를 사용하여 호출자를 인증하며, 이 헬퍼는 기록된 역할과 무관하게 team-membership 테이블의 모든 행에 대해 true를 반환합니다. 또한 해당 헬퍼가 호출하는 데이터 계층 함수도 동일한 헬퍼만 재확인할 뿐 다른 검사는 수행하지 않습니다. 같은 라우터에서 구성원을 제거하거나 업데이트하는 인접한 절차들은 각각 호출자의 역할을 해결하며, 요청이 'owner' 역할인 경우가 아니면 거부하므로, 검사 로직은 파일에 존재하지만 삭제 작업에는 적용되지 않습니다. Member는 초대된 사용자가 받는 역할이므로, 모든 초대자가 팀과 이에 스코프된 모든 레코드를 제거할 수 있으며, 이 삭제 작업은 저장된 bank-connection 토큰을 사용하여 정리 작업을 큐에 추가하고, 해당 작업은 연결된 제공업체对这些 토큰을 사용합니다. 같은 라우터의 업데이트 절차에도 역할 검사가 없습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.