CVE-2026-71242highCWE-639

CVE-2026-71242: falha de alta gravidade em crater-invoice crater

Crater - Cross-Company IDOR on Notes via Missing Company-Ownership Check in NotePolicy

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar crater

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.2epss 0.4%
Crater's NotePolicy checks only a blanket Bouncer ability (manage-all-notes / view-all-notes) with no company-ownership comparison, unlike InvoicePolicy and other sibling policies which additionally verify ->hasCompany(->company_id). Any authenticated user of one company can read, edit, or delete another company's notes by ID.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
Produtos afetados
crater-invoice · crater