CVE-2026-42092

ŚrednieCVSS 6.5

Opublikowano: 04/05/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 26/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

W projekcie titra w wersji 0.99.52 publikacja Meteor globalsettings zwraca wszystkie ustawienia globalne bez sprawdzenia uprawnień administratora. Każdy uwierzytelniony użytkownik może subskrybować przez DDP i otrzymać wrażliwe pola konfiguracji, takie jak google_secret, openai_apikey i google_clientid. W momencie publikacji brak publicznej poprawki.

Ocena ryzyka

Uwierzytelniony użytkownik o niskich uprawnieniach może uzyskać dostęp do kluczy API i sekretów, co może prowadzić do nieautoryzowanego użycia usług zewnętrznych i kosztów. Wyciek sekretów może też umożliwić dalsze ataki.

Rekomendacja

Ogranicz publikację globalsettings do administratorów i usuń wrażliwe pola z subskrypcji DDP. Do czasu poprawki rotuj ujawnione klucze API i monitoruj ich użycie.

Inne podatności w titra

CVE-2025-69288Krytyczne
Titra to oprogramowanie do śledzenia czasu pracy typu open source. Przed wersją 0.99.49 każdy uwierzytelniony użytkownik z rolą administratora może modyfikować regułę timeEntryRule w bazie danych. Wartość ta jest następnie przekazywana do NodeVM i wykonywana jako kod. Bez sanityzacji prowadzi to do zdalnego wykonania kodu. Wersja 0.99.49 naprawia ten problem.

Oryginalny opis (angielski, źródło NVD)

titra is an open source time tracking project. In version 0.99.52, the globalsettings Meteor publication returns all global settings without any admin or role check. Any authenticated user can subscribe via DDP and receive sensitive configuration fields such as google_secret, openai_apikey, and google_clientid. At time of publication no public patch is available.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS