CVE-2026-81817

Flowintel'in etkilenen sürümleri, çok sayıda görev uç noktasında güvenli olmayan doğrudan nesne referansı / bozuk nesne düzeyinde yetkilendirme sorunu içerir. Rotalar genellikle hem bir vaka tanımlayıcısı hem de bir görev tanımlayıcısı alıyordu, ancak daha önce görevin gerçekten sağlanan vakaya ait olduğunu zorunlu kılmıyorlardı. Sonuç olarak, bir vakaya editör düzeyinde erişimi olan kimliği doğrulanmış bir kullanıcı, başka bir vakanın görevinin ID'sini değiştirerek o yabancı göreve karşı işlemler çağırabiliyordu. Yama, her iki nesneyi yükleyen ve görev istenen vakaya ait değilse 404 döndüren task_case_bound_required'u sunar. Bu koruma düzenleme, silme, not, atama, durum, dosya, dışa aktarma, MISP bağlama, alt görev, harici referans ve diğer görevle ilgili uç noktalara uygulanır. Düzeltme ayrıca, istenen bir note_id'nin döndürülmeden veya dışa aktarılmadan önce mevcut göreve ait olduğunu açıkça kontrol eder ve ilgili nesneler arası erişim yollarını kapatır. Etkilenen sürüm =>3.3.0