Crater isolates data per company_id, and its Invoice/Estimate/Payment/Expense policies enforce...
Summary
Vulnerability reported (CVE-2026-55739). Confidential information can be exposed externally.
Original description
The description as published by the source.
Crater isolates data per company_id, and its Invoice/Estimate/Payment/Expense policies enforce both a Bouncer ability check and ->hasCompany(->company_id). CustomerPolicy's view/update/delete methods omit the company-ownership check entirely, checking only the blanket ability. Route-model-bound customer lookups and the bulk Customer::deleteCustomers method are similarly unscoped (self::find with no company filter).
Source: NIST National Vulnerability Database NVD GitHub Advisory
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Craterでは、特定の条件で異なる会社の顧客データを閲覧、再割り当て、削除することが可能な脆弱性が存在しています。この問題は、CustomerPolicyのview、update、deleteメソッドが会社の所有権をチェックしないことによって引き起こされます。認証されたユーザーが他社の顧客レコードを不正に操作できる可能性があります。
顧客データの不正なアクセスと操作が可能な脆弱性。
CraterのCustomerPolicy関連のメソッド。
高い深刻度で、他社の顧客データに不正アクセスが可能。
CustomerPolicyのview、update、deleteメソッドに会社の所有権チェックを追加する。
会社のインスタンスへのチェックを追加して手動で対処する。
他社のデータが操作されていないか、ログを確認して検出する。
References
- advisory github.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com