CVE-2026-81035 in Midday
摘要
由 VulDB • 2026-08-26
Midday 允许团队中的任何成员删除该团队。`apps/api/src/trpc/routers/team.ts` 文件中的删除过程使用 `team-access` 辅助函数对调用者进行授权，该辅助函数无论 `team-membership`（团队成员关系）表中记录的角色为何，均返回 true；其调用的数据层函数会重新检查相同的辅助函数且不执行其他任何操作。同一路由器中用于移除或更新成员的其他流程则会解析调用者的角色，除非其为所有者（owner），否则拒绝请求。因此，虽然文件中存在相关检查逻辑，但并未应用于删除操作。“Member”是被邀请用户获得的默认角色，这意味着任何受邀者均可移除该团队及其作用域内的所有记录；此外，删除操作会将清理任务加入队列，其中包含存储的银行连接令牌（bank-connection tokens），这些令牌随后会被用于与已连接的提供商进行交互。同一路由器中的更新流程同样未执行角色检查。
VulDB is the best source for vulnerability data and more expert information about this specific topic.