CVE-2026-77768

يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة)

يمكن للمستخدم المصادق عليه قراءة التكوين الكامل لأي تقرير محفوظ على المثيل، بما في ذلك projectId المالك، وسلسلة الأحداث، والمرشحات، والتفاصيل، والصيغ، من خلال تقديم معرّف التقرير. يحدث هذا لأن الإجراء report.get الموجود في packages/trpc/src/routers/report.ts يقبل فقط reportId ويعيد getReportById(reportId) مباشرةً. لا تقوم البرمجيات الوسيطة enforceAccess الموجودة في packages/trpc/src/trpc.ts بتقييم العضوية إلا عندما تحتوي المدخلات على مفتاح projectId أو organizationId، مما يسمح بمرور المدخلات التي تحتوي على reportId فقط دون فحص. بالإضافة إلى ذلك، تقوم الدالة getReportById الموجودة في packages/db/src/services/reports.service.ts بتنفيذ عملية findUnique على معرّف التقرير دون تحديد نطاق المشروع.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.