- Son 7 gün
- CWE-862
CVE-2026-116008
DaybydayCRM'de Yetkilendirme Eksikliği: Yetkisiz Proje Yeniden Atama
- Yayımlandı
- Güncellendi
- 24 Eki 2026
- Açık yaşı
- 4 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
DaybydayCRM 2.2.1 sürümüne kadar olan sürümlerde, ProjectsController::updateAssign içinde yetkilendirme eksikliği bulunmaktadır. Bu durum, kimliği doğrulanmış herhangi bir kullanıcının can-assign-new-user-to-project yetkisine sahip olmadan projeleri yeniden atamasına olanak tanımaktadır. Düşük yetkili çalışanlar, seçtikleri bir user_assigned_id ile /projects/updateassign/{external_id} adresine PATCH veya POST istekleri göndererek proje sahipliğini ve bildirimleri başka bir kullanıcıya yönlendirebilir.
Kaynaktaki açıklama (İngilizce)
DaybydayCRM through 2.2.1 contains a missing authorization vulnerability in ProjectsController::updateAssign() that allows any authenticated user to reassign projects without the can-assign-new-user-to-project permission. Low-privileged employees can send PATCH or POST requests to /projects/updateassign/{external_id} with a chosen user_assigned_id to redirect project ownership and notifications.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Bottelet DaybydayCRM | ≤ 2.2.1 | – |
Kaynaklar7 kaynak
- CVE.org kaydı
- NVD kaydı
- github.com/Bottelet/DaybydayCRM/pull/362 Yama
- github.com/…ommit/20a161e6c3e7ad60ee0430678bcbace593dfd1d8 Yama
- github.com/Bottelet/DaybydayCRM/issues/347 Üçüncü taraf
- vulncheck.com/…horization-via-projectscontroller-updateassign Üçüncü taraf
- github.com/….1/app/Http/Controllers/ProjectsController.php Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.