CVE-2026-104991

Nome do Software Vulnerável e Versões Afetadas Phproject versões anteriores a 1.8.7

Description Existe um problema na API REST onde a autorização a nível de objeto está ausente. Usuários autenticados com uma chave de API válida podem ignorar o controle de confidencialidade security.restrict access porque a rotina de autorização allowAccess() não é invocada. Isso permite que invasores leiam conteúdos e comentários de problemas restritos, incluindo endereços de e-mail do proprietário e do autor, e postem comentários não autorizados em problemas aos quais não deveriam ter acesso através dos seguintes endpoints: 'single get', 'single comments' e 'single comments post'.

Recommendations Atualize o Phproject para a versão 1.8.7 ou posterior.