CVE-2026-77768

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição Um usuário autenticado pode ler a configuração completa de qualquer relatório salvo na instância, incluindo o projectId proprietário, séries de eventos, filtros, detalhamentos e fórmulas, fornecendo um identificador de relatório. Isso ocorre porque o procedimento report.get em packages/trpc/src/routers/report.ts aceita apenas um reportId e retorna getReportById(reportId) diretamente. O middleware enforceAccess em packages/trpc/src/trpc.ts avalia a associação apenas quando a entrada contém uma chave projectId ou organizationId, permitindo que entradas apenas com um reportId passem sem verificação. Além disso, a função getReportById em packages/db/src/services/reports.service.ts executa uma operação findUnique no ID do relatório sem escopo de projeto.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.