CVE-2026-85712

Nome do Software Vulnerável e Versões Afetadas Chartbrew versões anteriores a 5.2.3

Description Existe um problema na verificação de permissão de projeto compartilhado onde o sistema confia em um team id controlado pelo chamador sem verificar se o projeto alvo pertence a essa equipe. Isso ocorre em rotas de projeto e verificações de autorização que aceitam identificadores de projeto controlados pelo usuário. Um usuário autenticado com função de proprietário ou administrador em sua própria equipe pode enviar um ID de projeto da vítima junto com seu próprio team id no corpo da requisição. Como o caminho de atualização realiza a atribuição em massa do corpo da requisição sem uma lista de permissões de campos de projeto, o invasor pode reatribuir o projeto da vítima para sua própria equipe. Isso permite que o invasor obtenha acesso total de leitura e gravação, remova a proteção por senha, exponha o projeto publicamente ou realize a exclusão entre locatários via a rota de exclusão compartilhada.

Recommendations Atualizar para a versão 5.2.3.