CVE-2026-81035 in Midday
Sumário
de VulDB • 26/08/2026
O Midday permite que qualquer membro de uma equipe o exclua. O procedimento de exclusão em apps/api/src/trpc/routers/team.ts autoriza o chamador com a função auxiliar team-access, que retorna verdadeiro para cada linha na tabela team-membership, independentemente do papel (role) registrado; e a função da camada de dados chamada re-verifica a mesma função auxiliar e nada mais. Os procedimentos vizinhos que removem ou atualizam um membro no mesmo roteador resolvem o papel do chamador e recusam a solicitação, a menos que seja owner (proprietário), portanto, a verificação existe no arquivo, mas não é aplicada à exclusão. Member é o papel recebido por um usuário convidado; assim, qualquer pessoa convidada pode remover a equipe e todos os registros vinculados a ela, e a exclusão enfileira o trabalho de limpeza com os tokens armazenados da conexão bancária (bank-connection), que são então utilizados pelo trabalho contra os provedores conectados. O procedimento de atualização no mesmo roteador também não possui verificação de papel.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.