CVE-2026-110098
ŚrednieCVSS 5.4Streszczenie
Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.
Ocena ryzyka
Atakujący może modyfikować lub usuwać wnioski innych pracowników oraz uzyskiwać dostęp do ich historii urlopów, co narusza integralność i poufność danych HR.
Rekomendacja
Zaktualizuj Jorani do wersji 1.0.4 lub nowszej. Dodatkowo wdróż kontrolę dostępu opartą na właścicielu zasobu dla operacji na wnioskach.
Inne podatności w Jorani
Zobacz wszystkie- CVE-2026-110100Średnie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.
- CVE-2026-110099Średnie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.
Oryginalny opis (angielski, źródło NVD)
Jorani before 1.0.4 contains an insecure direct object reference vulnerability that allows authenticated users to modify, delete, and view other employees' requests by authorizing by operation name only. Attackers can supply numeric request ids to Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete(), and Leaves::history() to tamper with colleagues' leave and overtime requests and read leave history.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS