PT-2026-122589
CVE-2026-116008
·
تاريخ النشر
2026-10-24
·
تاريخ التحديث
2026-10-24
الوصف من
CVSS 4.0
5.3
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
DaybydayCRM الإصدارات السابقة لـ 2.2.2
الوصف
يوجد خلل في التصريح في دالة
updateAssign() ضمن ProjectsController. يسمح هذا الخلل لأي مستخدم مصرح له بإعادة تعيين المشاريع حتى لو لم يكن لديه إذن can-assign-new-user-to-project. يمكن للموظفين ذوي الصلاحيات المنخفضة استغلال ذلك عن طريق إرسال طلبات PATCH أو POST إلى نقطة النهاية '/projects/updateassign/{external id}' باستخدام user assigned id محدد لتغيير ملكية المشروع والإشعارات.التوصيات
تحديث DaybydayCRM إلى الإصدار 2.2.2 أو إصدار أحدث.
كإجراء تخفيف مؤقت، قم بتقييد الوصول إلى نقطة النهاية '/projects/updateassign/{external id}' للمستخدمين الذين لا يملكون صلاحيات إدارية.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾