CVE-2026-47236
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 — wyżej niż 8% wszystkich znanych CVE
Streszczenie
Solidtime to aplikacja do śledzenia czasu, która przed wersją 0.12.2 miała niewłaściwie skonfigurowane uprawnienia do API zaproszeń i członków. Pracownicy organizacji mogli uzyskać dostęp do adresów e-mail zaproszeń i członków, mimo że API zabraniało im tego dostępu.
Ocena ryzyka
Organizacja narażona jest na wyciek danych osobowych, ponieważ każdy pracownik może odczytać adresy e-mail zaproszeń i członków, co może prowadzić do nieautoryzowanego dostępu do informacji.
Rekomendacja
Zaleca się aktualizację Solidtime do wersji 0.12.2 lub nowszej, aby usunąć tę podatność i zabezpieczyć dane organizacji.
Oryginalny opis (angielski, źródło NVD)
Solidtime is an open-source time-tracking app. Prior to version 0.12.2, Solidtime defines an explicit invitations:view and members:view permissions that gates the official invitations and members API. The Jetstream web team page authorizes access with only belongsToTeam() and then loads and serializes all pending invitation emails as well as members into Inertia props. Any employee who belongs to the organization can read pending invitation email addresses and members through the serialised inertia data in the team page body even though the same user is forbidden from the API. This issue has been patched in version 0.12.2.