Jorani before 1.0.4 contains a missing authorization vulnerability in Contracts::import() that allows any authenticated user to import days off into any contract from an arbitrary URL. Attackers can submit a contract id and URL via POST to overwrite non-working-day calendars and abuse get_headers() and fopen() for server-side request forgery against internal hosts.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Не требуются
Нет дополнительных условий
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Низкое
Частичная модификация данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 5
https://github.com/jorani/jorani/blob/v1.0.2/application/controllers/Contracts.…
disclosure@vulncheck.com
https://github.com/jorani/jorani/commit/59c403224401824489ec662934f71c90d27f614c
disclosure@vulncheck.com
https://github.com/jorani/jorani/issues/426
disclosure@vulncheck.com
https://github.com/jorani/jorani/releases/tag/v1.0.4
disclosure@vulncheck.com
https://www.vulncheck.com/advisories/jorani-before-1.0.4-missing-authorization-…
disclosure@vulncheck.com