CVE-2026-77769

packages/trpc/src/routers/report.ts faylındakı report.list proseduru projectId və dashboardId parametrlərini qəbul edir və getReportsByDashboardId(dashboardId) funksiyasını qaytarırdı. packages/trpc/src/trpc.ts faylındakı enforceAccess middleware-i təqdim edilən projectId üçün üzvlüyü yoxlayırdı, lakin təqdim edilən dashboardId-nin həmin layihəyə aid olub-olmadığı yoxlanılmırdı və packages/db/src/services/reports.service.ts faylındakı getReportsByDashboardId funksiyası hesabatları heç bir layihə məhdudiyyəti olmadan yalnız dashboardId əsasında seçirdi. Buna görə də, autentifikasiya olunmuş istifadəçi öz təşkilatına aid olan və middleware-dən keçən projectId-ni başqa təşkilata məxsus dashboardId ilə birləşdirərək həmin idarəetmə panelindəki bütün hesabatları əldə edə bilərdi. Eyni servis faylında düzgün məhdudlaşdırılmış listReportsCore köməkçi funksiyası artıq mövcud idi və o, hesabatları qaytarmazdan əvvəl getDashboardById(dashboardId, projectId) vasitəsilə idarəetmə panelini müəyyən edirdi, lakin router-də ondan istifadə edilməmişdi.