CVE-2026-72546

Nome do Software Vulnerável e Versões Afetadas Attendize versões anteriores ao commit 9289acb

Description Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, qualquer organizador de eventos autenticado pode injetar participantes e pedidos em eventos pertencentes a outras contas através do endpoint 'postInviteAttendee'. O problema ocorre porque o endpoint carrega o evento alvo por ID sem restringir a consulta à conta do organizador autenticado, permitindo que um invasor modifique dados de eventos e registros financeiros entre diferentes contas.

Recommendations Atualize o Attendize para uma versão que inclua o commit 9289acb ou posterior. Restrinja o acesso ao endpoint 'postInviteAttendee' para garantir que os usuários possam modificar apenas eventos associados à sua própria conta.