CVE-2026-116008

Nome do Software Vulnerável e Versões Afetadas DaybydayCRM versões anteriores a 2.2.2

Descrição Uma falha de autorização existe na função updateAssign() do ProjectsController. Este problema permite que qualquer usuário autenticado reatribua projetos, mesmo sem a permissão can-assign-new-user-to-project. Funcionários com baixos privilégios podem explorar isso enviando requisições PATCH ou POST para o endpoint '/projects/updateassign/{external id}' usando um user assigned id específico para redirecionar a propriedade e as notificações do projeto.

Recomendações Atualize o DaybydayCRM para a versão 2.2.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/projects/updateassign/{external id}' para usuários sem privilégios administrativos.