CVE-2026-110100
ŚrednieCVSS 5.4Streszczenie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.
Ocena ryzyka
Atakujący może modyfikować dane kalendarzy kontraktów oraz przeprowadzać ataki SSRF, uzyskując dostęp do wewnętrznych zasobów sieciowych. Może to prowadzić do nieautoryzowanych zmian danych i ujawnienia informacji z sieci wewnętrznej.
Rekomendacja
Zaktualizuj Jorani do wersji 1.0.4 lub nowszej. Dodatkowo ogranicz możliwość importu z zewnętrznych URL-i oraz weryfikuj uprawnienia użytkowników do modyfikacji kontraktów.
Inne podatności w Jorani
Zobacz wszystkie- CVE-2026-110099Średnie
Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.
- CVE-2026-110098Średnie
Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.
Oryginalny opis (angielski, źródło NVD)
Jorani before 1.0.4 contains a missing authorization vulnerability in Contracts::import() that allows any authenticated user to import days off into any contract from an arbitrary URL. Attackers can submit a contract id and URL via POST to overwrite non-working-day calendars and abuse get_headers() and fopen() for server-side request forgery against internal hosts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS