CVE-2026-71242

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-71242
Crater's NotePolicy checks only a blanket Bouncer ability (manage-all-notes / view-all-notes) with no company-ownership comparison, unlike InvoicePolicy and other sibling policies which additionally verify ->hasCompany(->company_id). Any authenticated user of one company can read, edit, or delete another company's notes by ID.

8.3 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 2.8 / Impact : 5.5

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required LOW

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact HIGH

Availability Impact LOW

Scope UNCHANGED

References
Link Resource
https://github.com/crater-invoice/crater
Configurations

No configuration.

History

24 Oct 2026, 15:10

Type Values Removed Values Added
Summary (es) La NotePolicy de Crater solo verifica una habilidad general de Bouncer (manage-all-notes / view-all-notes) sin comparación de propiedad de la empresa, a diferencia de InvoicePolicy y otras políticas hermanas que verifican adicionalmente $user -> hasCompany($model -> company_id). Las acciones show(), update() y destroy() de NotesController autorizan a través de $this -> authorize(’view notes’/’manage notes’) sin pasar el modelo Note objetivo, y el alcance por empresa de Note (scopeWhereCompany) se aplica solo en el endpoint de lista, no en show/update/destroy. Cualquier usuario autenticado de una empresa puede leer, editar o eliminar las notas de otra empresa por ID. Este es un hallazgo distinto de la omisión de propiedad de la empresa de CustomerPolicy reportada previamente (una clase de política y un controlador diferentes). (es) La NotePolicy de Crater solo verifica una habilidad general de Bouncer (manage-all-notes / view-all-notes) sin comparación de propiedad de la empresa, a diferencia de InvoicePolicy y otras políticas hermanas que verifican adicionalmente $user -mayor que hasCompany($model -mayor que company_id). Las acciones show(), update() y destroy() de NotesController autorizan a través de $this -mayor que authorize(’view notes’/’manage notes’) sin pasar el modelo Note objetivo, y el alcance por empresa de Note (scopeWhereCompany) se aplica solo en el endpoint de lista, no en show/update/destroy. Cualquier usuario autenticado de una empresa puede leer, editar o eliminar las notas de otra empresa por ID. Este es un hallazgo distinto de la omisión de propiedad de la empresa de CustomerPolicy reportada previamente (una clase de política y un controlador diferentes).

23 Oct 2026, 21:10

Type Values Removed Values Added
Summary
  • (es) La NotePolicy de Crater solo verifica una habilidad general de Bouncer (manage-all-notes / view-all-notes) sin comparación de propiedad de la empresa, a diferencia de InvoicePolicy y otras políticas hermanas que verifican adicionalmente $user -> hasCompany($model -> company_id). Las acciones show(), update() y destroy() de NotesController autorizan a través de $this -> authorize(’view notes’/’manage notes’) sin pasar el modelo Note objetivo, y el alcance por empresa de Note (scopeWhereCompany) se aplica solo en el endpoint de lista, no en show/update/destroy. Cualquier usuario autenticado de una empresa puede leer, editar o eliminar las notas de otra empresa por ID. Este es un hallazgo distinto de la omisión de propiedad de la empresa de CustomerPolicy reportada previamente (una clase de política y un controlador diferentes).
Information

Published : 2026-08-05 11:16

Updated : 2026-10-24 15:10

NVD link : CVE-2026-71242

Mitre link : CVE-2026-71242

CVE.ORG link : CVE-2026-71242

JSON object : View

Products Affected

No product.

CWE
CWE-639

Authorization Bypass Through User-Controlled Key