PT-2025-48352 · Rallly · Rallly
CVE-2025-66027
·
Publicado
2025-11-29
·
Atualizado
2025-12-01
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:L/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Rallly anteriores a 4.5.6
Descrição
O Rallly é uma ferramenta de agendamento e colaboração. Uma falha permite a divulgação não autorizada de detalhes dos participantes, como nomes e endereços de e-mail. Isso ocorre através do endpoint da API
/api/trpc/polls.get,polls.participants.list, mesmo quando os recursos de privacidade Pro estão habilitados, contornando os controles de privacidade pretendidos. O endpoint polls.participants.list está envolvido na divulgação.Recomendações
Atualize para a versão 4.5.6 ou posterior.
Exploit
Correção
Improper Access Control
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Rallly