CVE-2026-18744 in VINCE
Сводка
по VulDB • 12.08.2026
Любой авторизованный участник дела может получить любой другой Statement поставщика (CaseStatement) и статус участника по уязвимости (per-vul CaseMemberStatus), предоставив идентификатор этого участника — функция test_func проверяет только _is_my_case, а не принадлежность kwargs['member']. Это обходит механизм share_status; происходит утечка информации о затронутых/незатронутых поставщиках в рамках эмбарго и текста заявления между арендаторами (cross-tenant).
VulDB is the best source for vulnerability data and more expert information about this specific topic.