CVE-2026-47408

Nome do Software Vulnerável e Versões Afetadas praisonai-platform (versões afetadas não especificadas)

Description Existe uma Referência Direta a Objeto Insegura (IDOR) na implantação multi-tenant. O endpoint '/workspaces/{workspace id}/issues/{issue id}/activity' utiliza o workspace id apenas para verificar a associação ao workspace, mas falha ao não verificar se o issue id solicitado realmente pertence a esse workspace. Isso permite que um membro de qualquer workspace acesse os logs de atividade completos de qualquer issue em toda a plataforma, desde que possua o UUID da issue. Os logs de atividade contêm dados operacionais sensíveis, incluindo identidades de atores, tipos de ação e um blob JSON details contendo valores antes e depois de alterações, que podem ser usados para reconhecimento ou para descobrir segredos incorporados.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint '/workspaces/{workspace id}/issues/{issue id}/activity' para minimizar o risco de divulgação não autorizada de dados.