Jorani before 1.0.4 contains a missing authorization vulnerability in the Hr controller's exportLeaves, exportOvertime and exportEmployees actions, allowing any authenticated user to export HR data. Attackers can request hr/exportEmployees or hr/exportLeaves/{id} and hr/exportOvertime/{id} to download employee names, emails, contracts, managers, and any employee's leave and overtime records.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/jorani/jorani/blob/v1.0.2/application/controllers/Hr.php#L45…
disclosure@vulncheck.com
https://github.com/jorani/jorani/commit/dee51fc3c6cb08b45fb2d03f3d44507bc07830e9
disclosure@vulncheck.com
https://github.com/jorani/jorani/issues/426
disclosure@vulncheck.com
https://github.com/jorani/jorani/releases/tag/v1.0.4
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/jorani-before-1.0.4-missing-authorization-…
disclosure@vulncheck.com