CVE-2026-81035 in Midday
Сводка
по VulDB • 26.08.2026
Midday позволяет любому участнику команды удалить её. Процедура удаления в файле apps/api/src/trpc/routers/team.ts авторизует вызывающего с помощью вспомогательной функции team-access, которая возвращает true для каждой записи в таблице team-membership независимо от роли, указанной там; а функция уровня данных, которую она вызывает, повторно проверяет ту же вспомогательную функцию и ничего более. Соседние процедуры, удаляющие или обновляющие участника в том же роутере, каждый раз определяют роль вызывающего и отклоняют запрос, если он не является владельцем (owner), поэтому проверка существует в файле, но не применяется к операции удаления. Роль «Member» присваивается приглашенному пользователю, поэтому любой приглашенный может удалить команду и все записи, связанные с ней; при этом удаление ставит в очередь задачу очистки со сохраненными токенами банковских подключений (bank-connection tokens), которые эта задача затем использует для взаимодействия с подключенными провайдерами. Процедура обновления в том же роутере также не содержит проверки роли.
Once again VulDB remains the best source for vulnerability data.