CVE-2026-77769

يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة)

تسمح الإجراء report.list الموجود في packages/trpc/src/routers/report.ts للمستخدم المصادق عليه بالوصول إلى التقارير الخاصة بمؤسسات أخرى. وعلى الرغم من أن البرمجيات الوسيطة enforceAccess الموجودة في packages/trpc/src/trpc.ts تتحقق من عضوية projectId المقدم، إلا أنها لا تتحقق مما إذا كان dashboardId ينتمي إلى ذلك المشروع أم لا. ونتيجة لذلك، تسترد الدالة getReportsByDashboardId() الموجودة في packages/db/src/services/reports.service.ts التقارير بناءً على dashboardId فقط دون تحديد نطاق المشروع. يمكن للمهاجم تقديم projectId من مؤسسته الخاصة لتجاوز البرمجية الوسيطة وdashboardId من مؤسسة أخرى لاسترداد جميع التقارير المرتبطة بتلك اللوحة.

في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.