CVE-2026-62180

Nome do Software Vulnerável e Versões Afetadas praisonai-platform versões 0.1.6 a 0.1.8

Description Uma falha de autorização permite que membros comuns de um espaço de trabalho modifiquem etiquetas compartilhadas e gerenciem atribuições de etiquetas em problemas criados por proprietários ou administradores. Embora a exclusão direta de etiquetas seja restrita a funções administrativas, os membros ainda podem renomear e alterar a cor de etiquetas compartilhadas ou adicionar e remover etiquetas de problemas criados pelo proprietário. Este problema resulta em perda de integridade do fluxo de trabalho e do estado de triagem.

Os detalhes técnicos incluem os seguintes endpoints de API afetados:

Esses endpoints não verificam se o chamador possui autoridade de proprietário ou administrador, baseando-se apenas na assinatura geral do espaço de trabalho. As funções LabelService.update(), LabelService.add to issue() e LabelService.remove from issue() são chamadas sem verificações de autorização suficientes.

Recommendations Para as versões 0.1.6 a 0.1.8, exija autoridade de administrador ou proprietário do espaço de trabalho para os endpoints PATCH /workspaces/{workspace id}/labels/{label id}, POST /workspaces/{workspace id}/issues/{issue id}/labels/{label id} e DELETE /workspaces/{workspace id}/issues/{issue id}/labels/{label id} quando a etiqueta ou o problema alvo não tiverem sido criados pelo chamador.