CVE-2026-77768

packages/trpc/src/routers/report.ts faylındakı report.get proseduru yalnız reportId qəbul edir və birbaşa getReportById(reportId) funksiyasını qaytarırdı. packages/trpc/src/trpc.ts faylındakı enforceAccess middleware-i üzvlüyü yalnız giriş məlumatlarında projectId və ya organizationId açarı olduqda qiymətləndirdiyi üçün, yalnız reportId-dən ibarət olan giriş yoxlanılmadan keçirdi və packages/db/src/services/reports.service.ts faylındakı getReportById funksiyası layihə məhdudiyyəti olmadan hesabat ID-si üzrə findUnique əməliyyatını yerinə yetirirdi. Buna görə də, hər hansı autentifikasiya olunmuş istifadəçi, hesabatın identifikatorunu təqdim etməklə instansiyadakı hər hansı yadda saxlanılmış hesabatın tam konfiqurasiyasını, o cümlədən ona sahib olan projectId, hadisələr seriyası, filtrlər, bölgülər və formulaları oxuya bilərdi. Qonşu update, delete və duplicate prosedurları əvvəlcə hesabatı müəyyən edir və getProjectAccess funksiyasını hesabatın öz projectId-sinə qarşı yoxlayır, buna görə də bu çatışmazlıq yalnız sözügedən prosedurla bağlı idi.