Crater isolates data per company_id, and its Invoice/Estimat…(CVE-2026-55739・CVSS 8.3)

概要

Crater isolates data per company_id, and its Invoice/Estimate/Payment/Expense policies enforce...

原文の説明

取得元が公開している説明をそのまま載せています (多くは英語)。

Crater isolates data per company_id, and its Invoice/Estimate/Payment/Expense policies enforce both a Bouncer ability check and $user->hasCompany($model->company_id). CustomerPolicy's view/update/delete methods omit the company-ownership check entirely, checking only the blanket ability. Route-model-bound customer lookups and the bulk Customer::deleteCustomers() method are similarly unscoped (self::find($id) with no company filter). Any authenticated user of one company can read, reassign (steal), or delete another company's customer records, with deletion cascading to that customer's invoices and payments.

出典: NIST National Vulnerability Database NVD GitHub Advisory

AI要約

外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。

Craterでは、特定の条件で異なる会社の顧客データを閲覧、再割り当て、削除することが可能な脆弱性が存在しています。この問題は、CustomerPolicyのview、update、deleteメソッドが会社の所有権をチェックしないことによって引き起こされます。認証されたユーザーが他社の顧客レコードを不正に操作できる可能性があります。

❓ 何が問題か

顧客データの不正なアクセスと操作が可能な脆弱性。

📍 影響範囲

CraterのCustomerPolicy関連のメソッド。

🔥 重要度

高い深刻度で、他社の顧客データに不正アクセスが可能。

🔧 修正方法

CustomerPolicyのview、update、deleteメソッドに会社の所有権チェックを追加する。

🛡️ 暫定回避

会社のインスタンスへのチェックを追加して手動で対処する。

🔍 検知方法

他社のデータが操作されていないか、ログを確認して検出する。