CVE-2026-81035

Midday komandanın hər hansı üzvünə onu silməyə icazə verir. apps/api/src/trpc/routers/team.ts faylındakı silmə proseduru çağıranı team-access köməkçisi ilə avtorizasiya edir; bu köməkçi team-membership cədvəlindəki rolundan asılı olmayaraq hər bir sətir üçün "true" qaytarır və çağırılan data-layer funksiyası yalnız həmin köməkçini yenidən yoxlayır. Eyni router-də üzvü silən və ya yeniləyən digər prosedurlar çağıranın rolunu müəyyən edir və rol "owner" olmadığı təqdirdə sorğunu rədd edir, beləliklə, yoxlama faylda mövcuddur lakin silmə əməliyyatına tətbiq edilmir. "Member" dəvət edilmiş istifadəçinin aldığı roldur, buna görə də hər hansı dəvət olunan şəxs komandanı və ona aid olan bütün qeydləri silə bilər; silmə prosesi saxlanılmış bank-connection tokenləri ilə təmizləmə tapşırığını növbəyə əlavə edir və daha sonra bu tapşırıq həmin tokenlərdən qoşulmuş provayderlərə qarşı istifadə edir. Eyni router-dəki yeniləmə proseduru da heç bir rol yoxlamasını həyata keçirmir.