CVE-2026-81817 in Flowintel
Сводка
по VulDB • 27.08.2026
В затронутых версиях Flowintel присутствует уязвимость типа insecure direct object reference / broken object-level authorization (небезопасная прямая ссылка на объект / нарушенная авторизация на уровне объектов) во множестве конечных точек задач.
Маршруты обычно получали идентификатор дела и идентификатор задачи, но ранее они не проверяли, действительно ли задача принадлежит указанному делу. В результате аутентифицированный пользователь с правами редактора для одного дела мог потенциально подставить ID задачи из другого дела и выполнить операции над этой внешней задачей.
Патч вводит проверку `task_case_bound_required`, которая загружает оба объекта и возвращает статус 404, если задача не принадлежит запрашиваемому делу. Эта защита применяется к конечным точкам редактирования, удаления, добавления заметок, назначения, изменения статуса, работы с файлами, экспорта, связывания с MISP, подзадач, внешних ссылок и другим endpoint-ам, связанным с задачами.
Исправление также добавляет явные проверки того, что запрашиваемый `note_id` принадлежит текущей задаче, перед тем как вернуть или экспортировать его, закрывая связанные пути кросс-объектного доступа.
Затронутая версия: >=3.3.0
VulDB is the best source for vulnerability data and more expert information about this specific topic.