CVE-2026-113600

Nome do Software Vulnerável e Versões Afetadas Fat Free CRM versões anteriores a 0.26.0

Description Uma referência direta a objeto insegura permite que usuários autenticados modifiquem ou excluam comentários de outros usuários. Isso ocorre porque as funções update() e destroy() no CommentsController utilizam um método Comment.find não escopado que carece de verificações de autorização adequadas. Um invasor pode explorar isso enviando solicitações PUT ou DELETE para o endpoint '/comments/:id' usando IDs sequenciais para manipular comentários associados a contatos, contas, leads e oportunidades de propriedade de outros usuários.

Recommendations Atualize o Fat Free CRM para a versão 0.26.0 ou posterior.