CVE-2026-72547

Nome do Software Vulnerável e Versões Afetadas Attendize versões anteriores ao commit 9289acb

Description Ocorre uma referência direta insegura a objetos (IDOR) quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. Neste caso, qualquer organizador de evento autenticado pode importar participantes em massa para eventos pertencentes a outras contas através do endpoint 'postImportAttendee'. O sistema carrega o evento alvo por ID sem verificar se a conta do organizador solicitante é a proprietária do evento, permitindo que um invasor injete dados de participantes em massa em qualquer evento, independentemente dos limites da conta.

Recommendations Atualize o Attendize para uma versão que inclua o commit 9289acb ou posterior. Restrinja o acesso ao endpoint 'postImportAttendee' para garantir que a verificação de propriedade seja realizada antes do processamento das importações.