Podatności Jorani

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w metodzie Contracts::import(), która pozwala każdemu uwierzytelnionemu użytkownikowi importować dni wolne do dowolnego kontraktu z zewnętrznego URL. Atakujący może przesłać identyfikator kontraktu i URL przez POST, aby nadpisać kalendarze dni roboczych oraz wykorzystać get_headers() i fopen() do ataku SSRF na wewnętrzne hosty.

Jorani w wersji przed 1.0.4 zawiera podatność braku autoryzacji w akcjach exportLeaves, exportOvertime i exportEmployees kontrolera Hr, pozwalając każdemu uwierzytelnionemu użytkownikowi na eksport danych HR. Atakujący może wywołać hr/exportEmployees lub hr/exportLeaves/{id} i hr/exportOvertime/{id}, aby pobrać dane pracowników, w tym nazwiska, e-maile, kontrakty, przełożonych oraz rekordy urlopów i nadgodzin.

Jorani w wersji przed 1.0.4 zawiera podatność typu insecure direct object reference, która pozwala uwierzytelnionym użytkownikom modyfikować, usuwać i przeglądać wnioski innych pracowników, ponieważ autoryzacja opiera się tylko na nazwie operacji. Atakujący może podać numeryczne identyfikatory wniosków do Leaves::edit(), Extra::edit(), Leaves::delete(), Extra::delete() i Leaves::history(), aby manipulować wnioskami o urlopy i nadgodziny oraz czytać historię urlopów.