CVE-2026-77769

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição O procedimento report.list em packages/trpc/src/routers/report.ts permite que um usuário autenticado acesse relatórios de outras organizações. Embora o middleware enforceAccess em packages/trpc/src/trpc.ts verifique a associação para o projectId fornecido, ele não verifica se o dashboardId pertence a esse projeto. Consequentemente, a função getReportsByDashboardId() em packages/db/src/services/reports.service.ts recupera relatórios baseando-se apenas no dashboardId, sem escopo de projeto. Um invasor pode fornecer um projectId de sua própria organização para burlar o middleware e um dashboardId de outra organização para recuperar todos os relatórios associados a esse painel.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.