CVE-2026-77769

packages/trpc/src/routers/report.ts içerisindeki report.list prosedürü bir projectId ve dashboardId kabul edip getReportsByDashboardId(dashboardId) sonucunu döndürüyordu. packages/trpc/src/trpc.ts içerisindeki enforceAccess ara yazılımı sağlanan projectId için üyeliği doğruluyordu ancak sağlanan dashboardId'nin söz konusu projeye ait olduğunu doğrulayan herhangi bir mekanizma bulunmuyordu ve packages/db/src/services/reports.service.ts içerisindeki getReportsByDashboardId fonksiyonu raporları proje kapsamlandırması olmaksızın yalnızca dashboardId ile seçiyordu. Bu nedenle, kimliği doğrulanmış bir kullanıcı, ara yazılımı karşılayan kendi kuruluşuna ait bir projectId ile başka bir kuruluşa ait bir dashboardId'yi eşleştirerek o panodaki tüm raporları alabilirdi. Aynı servis dosyasında, raporları döndürmeden önce getDashboardById(dashboardId, projectId) aracılığıyla panoyu çözen doğru şekilde kapsamlandırılmış bir yardımcı fonksiyon olan listReportsCore zaten mevcuttu ancak yönlendirici bunu kullanmamıştı.