CVE-2026-110099
ŚrednieCVSS 4.3Streszczenie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.
Ocena ryzyka
Nieuprawniony użytkownik może uzyskać dostęp do wrażliwych danych osobowych pracowników, co stanowi naruszenie poufności i może prowadzić do konsekwencji prawnych (RODO).
Rekomendacja
Zaktualizuj Jorani do wersji 1.0.4 lub nowszej. Dodatkowo zweryfikuj i ogranicz uprawnienia do akcji eksportu danych HR.
Inne podatności w Jorani
Zobacz wszystkie- CVE-2026-110100Średnie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.
- CVE-2026-110098Średnie
Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.
Oryginalny opis (angielski, źródło NVD)
Jorani before 1.0.4 contains a missing authorization vulnerability in the Hr controller's exportLeaves, exportOvertime and exportEmployees actions, allowing any authenticated user to export HR data. Attackers can request hr/exportEmployees or hr/exportLeaves/{id} and hr/exportOvertime/{id} to download employee names, emails, contracts, managers, and any employee's leave and overtime records.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS