CVE-2026-110772
Beschrijving NL
Zeker 0.7.0 tot 0.7.6-alpha.6 bevat een ontbrekende autorisatiekwetsbaarheid in Transacties:: BulkUpdatesController#create waarmee familieleden machtigingen voor het delen van accounts kunnen omzeilen. Geverifieerde leden met read_only of geen aandeel kunnen willekeurige entry_ids indienen om de transactiedata, namen, notities, categorieën, verkopers en tags van andere leden te wijzigen, budgetten en rapporten te corrumperen.
Origineel (Engels) tonen
Sure 0.7.0 through 0.7.6-alpha.6 contains a missing authorization vulnerability in Transactions::BulkUpdatesController#create that allows family members to bypass account sharing permissions. Authenticated members with read_only or no share can submit arbitrary entry_ids to modify other members' transaction dates, names, notes, categories, merchants and tags, corrupting budgets and reports.