CVE-2026-71459

Nome do Software Vulnerável e Versões Afetadas O nome do produto não pôde ser determinado (versões afetadas não especificadas)

Descrição A view JobJobEventsChildrenSummary não possui um modelo ou modelo pai definido, fazendo com que a função ModelAccessPermission.check get permissions() retorne True para qualquer usuário autenticado. Como a view utiliza get object or 404(Job, pk) sem implementar as verificações de permissão em nível de objeto do Django Rest Framework (DRF), um usuário autenticado sem privilégios pode acessar a estrutura da árvore de eventos e o status event processing finished. Além disso, isso permite a enumeração de IDs de Job em toda a plataforma através de um oráculo 200/404, onde a resposta do servidor indica se um ID específico existe. Isso ocorre enquanto o endpoint irmão '/jobs/{id}/job events/' aplica as permissões corretamente.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.