CVE-2026-115329

Nome do Software Vulnerável e Versões Afetadas Lotus versões anteriores a 0.10.3

Descrição Ocorre uma referência direta insegura a objetos na função get object() dentro do SubscriptionViewSet. O problema decorre do uso de um queryset não escopado que carece de filtragem por organização ou verificações de permissão. Consequentemente, usuários autenticados ou detentores de chaves de API de qualquer organização podem fornecer um subscription id pertencente a outra organização para ler, cancelar, atualizar, alterar planos ou modificar complementos, permitindo a alteração do faturamento de outro locatário.

Recomendações Atualize o Lotus para a versão 0.10.3 ou posterior. Como mitigação temporária, restrinja o acesso ao SubscriptionViewSet ou à função get object() para garantir que a filtragem por organização seja aplicada.