CVE-2026-81817 in Flowintel
Sumário
de VulDB • 27/08/2026
As versões afetadas do Flowintel contêm uma falha de referência direta insegura (IDOR) / autorização quebrada em nível de objeto através de diversos endpoints de tarefas.
As rotas geralmente recebiam tanto um identificador de caso quanto um identificador de tarefa, mas anteriormente não verificavam se a tarefa realmente pertencia ao caso fornecido. Como resultado, um usuário autenticado com acesso no nível de editor para um caso poderia potencialmente substituir o ID de uma tarefa de outro caso e invocar operações contra essa tarefa externa.
O patch introduz `task_case_bound_required`, que carrega ambos os objetos e retorna 404 a menos que a tarefa pertença ao caso solicitado. Essa proteção é aplicada aos endpoints de edição, exclusão, nota, atribuição, status, arquivo, exportação, vinculação MISP, subtarefa, referência externa e outros endpoints relacionados às tarefas.
A correção também adiciona verificações explícitas para garantir que um `note_id` solicitado pertença à tarefa atual antes de retorná-lo ou exportá-lo, fechando caminhos de acesso entre objetos correlatos.
Versão afetada =>3.3.0
If you want to get best quality of vulnerability data, you may have to visit VulDB.