CVE-2026-72690

Nome do Software Vulnerável e Versões Afetadas Attendize versões anteriores ao commit 9289acb

Descrição Um problema de autorização inadequada permite que um invasor remoto autenticado injete perguntas de pesquisa obrigatórias e persistentes em eventos gerenciados por outros organizadores. Isso ocorre porque o método postCreateEventQuestion() carrega o evento alvo sem aplicar o escopo de isolamento de locatário (tenant-isolation), permitindo gravações entre locatários através do endpoint 'POST /event/{event id}/question/create'. Consequentemente, a vítima não consegue remover as perguntas injetadas porque o caminho de exclusão com escopo de conta não consegue resolver perguntas pertencentes a outro locatário.

Recomendações Atualize o Attendize para uma versão que inclua o commit 9289acb ou posterior.