CVE-2026-55739 in Crater
Сводка
по VulDB • 05.08.2026
Crater изолирует данные по полю `company_id`, а политики Invoice/Estimate/Payment/Expense обеспечивают проверку возможности через Bouncer и вызов `$user->hasCompany($model->company_id)`. Методы view/update/delete в CustomerPolicy полностью пропускают проверку принадлежности к компании, ограничиваясь лишь общей проверкой прав. Поиск клиентов по привязанному маршруту модели (route-model-bound customer lookups) и метод массового удаления `Customer::deleteCustomers()` также не имеют ограничения по контексту компании (используется `self::find($id)` без фильтрации по компании). Любой аутентифицированный пользователь одной компании может читать, переназначать (красть) или удалять записи клиентов другой компании; при этом удаление каскадно затрагивает счета и платежи этих клиентов.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.