CVE-2026-18749

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.4%
CWE: CWE-639
KEV Durumu: Hayır

Yayım tarihi: 12 Ağustos 2026

type=track dal branchı yalnızca _is_my_case(t_attach.case) yetkilendirmesini gerçekleştirmekte ve asla VinceTrackAttachment.shared değerini kontrol etmemektedir. Bir koordinatör tarafından yüklenen ve paylaşılmış olarak işaretlenmemiş bir vaka öğesi, uuid'sine sahip olan veya bu uuid'ye sahip olan herhangi bir vaka üyesi tarafından hala erişilebilir durumdadır — bu durum, henüz yayınlanmamış koordinatör materyallerinin vakadaki satıcılara sızmasına neden olmaktadır.

Orijinal açıklama (İngilizce)

The type=track branch authorises on _is_my_case(t_attach.case) only and never checks VinceTrackAttachment.shared. A coordinator-uploaded case artefact that has NOT been marked shared is still retrievable by any case member who has (or is sent) its uuid — leaks not-yet-released coordinator material to vendors on the case.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.