PT-2026-35500 · Mettle · Sendportal

B1Scuit · Publicado 2026-04-27 · Atualizado 2026-04-28 · CVE-2026-7145

Positive Technologies (AI Summary) · Pt

CVSS v2.0

5.5

Média

Vetor base

AV:N/AC:L/Au:S/C:N/I:P/A:P

Nome do Software Vulnerável e Versões Afetadas mettle sendportal versões anteriores a 3.0.2

Descrição Existe uma falha de bypass de autorização no componente Invitation Handler. Um invasor remoto pode manipular o argumento invitation dentro da função destroy() do arquivo 'app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php' para ignorar os controles de autorização.

Recomendações Atualize para uma versão posterior à 3.0.1. Como medida paliativa temporária, restrinja o acesso à função destroy() no arquivo 'app/Http/Controllers/Workspaces/WorkspaceInvitationsController.php'.

Correção

Improper Authorization

IDOR

Enumeração de Fraquezas

CWE-285

CWE-639

Identificadores relacionados

CVE-2026-7145

Produtos afetados

Sendportal

Referências · 8

• https://github.com/mettle/sendportal/issues/337 · Nota
• https://vuldb.com/submit/801781 · Nota
• https://vuldb.com/vuln/359744/cti · Nota
• https://twitter.com/CVEnew/status/2048852116941279711 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-7145 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2048963000732701080 · Publicação no Twitter
• https://github.com/mettle/sendportal · Nota
• https://vuldb.com/vuln/359744 · Nota