🇰🇷 한글 설명
Kimai 시간 추적 애플리케이션의 2.51.0 미만 버전에서 발생하는 취약점입니다. ROLE_TEAMLEAD 권한을 가진 사용자가 자신의 팀에 할당되지 않은 다른 고객의 송장 정보까지 모두 조회할 수 있는 권한 검증 미흡 문제가 존재합니다.
💡 쉬운 설명
팀장 권한을 가진 사람이 다른 팀의 민감한 결제 내역까지 몰래 볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 회사 내 다른 팀의 고객 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Kimai is a web-based multi-user time-tracking application. Prior to version 2.51.0, "GET /api/invoices/{id}" only checks the role-based view_invoice permission but does not verify the requesting user has access to the invoice's customer. Any user with ROLE_TEAMLEAD (which grants view_invoice) can read all invoices in the system, including those belonging to customers assigned to other teams. This issue has been patched in version 2.51.0.
📍 영향받는 시스템
Kimai version < 2.51.0
⚔️ 공격 벡터
API 엔드포인트(/api/invoices/{id})를 통해 권한이 없는 타 팀의 송장 ID를 직접 요청하여 데이터 탈취
🛡️ 대응 방법
Kimai를 최신 버전인 2.51.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.51.0 이상의 버전 번호가 포함되어 있으면 안전하며, 그 미만이면 취약합니다.
curl -s http://<target-ip>/api/version | grep -E '2.51.0'