CVE-2026-71459
OrtaTeknik Veri (Otomatik)
- CVSS Skoru
- 5
- EPSS
- —
- CWE
- CWE-862
- KEV Durumu
- Hayır
JobJobEventsChildrenSummary görünümü hiçbir model/üst_model içermez. ModelAccessPermission.check_get_permissions() her kimlik doğrulama yapılmış kullanıcı için (True) döndürür. Görünüm, DRF nesne düzeyinde izin kontrolü olmadan ham get_object_or_404(Job, pk) kullanır. Sıfır ayrıcalıklı bir kullanıcı, olay ağacı yapısını, event_processing_finished durumunu ve platform genelinde Job Kimliklerini 200/404 oracle aracılığıyla numaralandırır. Kardeş uç nokta /jobs/{id}/job_events/ doğru olarak 403 döndürür.
Orijinal açıklama (İngilizce)
JobJobEventsChildrenSummary view has no model/parent_model. ModelAccessPermission.check_get_permissions() falls through (returns True) for any authenticated user. The view uses raw get_object_or_404(Job, pk) without DRF object-level permission check. Zero-privilege user reads event tree structure, event_processing_finished status, and enumerates Job IDs platform-wide via 200/404 oracle. Sibling endpoint /jobs/{id}/job_events/ correctly returns 403.
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.