CVE-2026-59240

Zəiflik `GET /notification/delete/{id}` son nöqtəsindəki `DeleteNotificationController::delete()` metodunda Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) ilə bağlıdır. Bu çatışmazlıq istənilən autentifikasiya olunmuş istifadəçiyə şirkətindən və ya icazələrindən asılı olmayaraq sistemdəki digər hər hansı istifadəçiyə məxsus bildirişləri silməyə imkan verir. Kontroller hədəf yazını `Notification::findOrFail($id)` vasitəsilə əldə edir və `user_id` və ya `company_id` mülkiyyətini yoxlamadan silir; bu, axtarışları düzgün şəkildə `Auth::id()` ilə məhdudlaşdıran oxşar `SetNotificationReadAjaxController`-dən fərqlənir. Bildiriş identifikatorları ardıcıl olduğu üçün hücumçu ID-lər üzrə dövr quraraq hər hansı istifadəçiyə məxsus bildirişləri sistematik olaraq silə bilər ki, bu da həmin istifadəçilərin bilet xəbərdarlıqlarını, tapşırıq təyinatlarını və digər sistem hadisələrini görməsinə mane olur.