CVE-2026-116008
Beschrijving NL
DaybydayCRM tot en met 2.2.1 bevat een ontbrekende autorisatiekwetsbaarheid in ProjectsController:: updateAssign() waarmee elke geverifieerde gebruiker projecten opnieuw kan toewijzen zonder de Can-toewijzing van nieuwe gebruiker aan projecttoestemming. Laagbevoorrechte werknemers kunnen PATCH- of postverzoeken sturen naar /projects/updateassign/{external_id} met een gekozen user_assigned_id om projecteigendom en meldingen om te leiden.
Origineel (Engels) tonen
DaybydayCRM through 2.2.1 contains a missing authorization vulnerability in ProjectsController::updateAssign() that allows any authenticated user to reassign projects without the can-assign-new-user-to-project permission. Low-privileged employees can send PATCH or POST requests to /projects/updateassign/{external_id} with a chosen user_assigned_id to redirect project ownership and notifications.