Veille sécuritéBackend & données
P3Élevée
Dans VentureDrake Laravel CRM avant 2.4.0, un utilisateur ayant accès à la gestion des utilisateurs peut attribuer des rôles non autorisés, notamment le rôle Owner ou des rôles d’autres équipes. Une suppression d’utilisateur sans restriction adéquate de périmètre peut également toucher des utilisateurs d’autres équipes.
Laravel
IdentifiantCVE-2026-110630
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif2.4.0
Source : NVD — CVE-2026-110630
Analyse technique
L’avis décrit une attribution de rôles insuffisamment limitée via Role::find et une méthode UserIndex delete() non limitée à l’équipe concernée.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14 à 15:17:15 UTC, soit 2026-10-14T17:17:15+02:00, dans la période demandée. La mise à jour NVD du même jour est un doublon de cette publication, non un événement distinct.
ImpactUn utilisateur autorisé à gérer des comptes peut obtenir des privilèges excessifs ou supprimer des comptes d’autres équipes.
Versions affectéesVentureDrake Laravel CRM < 2.4.0
Version corrigée2.4.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7
Publication2026-10-14T17:17:15+02:00
Mise à jour2026-10-14T23:17:35+02:00
Détection / vérification
Vérifier si VentureDrake Laravel CRM est installé et s’il est antérieur à 2.4.0.
Action recommandée
Mettre à niveau vers la version 2.4.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).