🇰🇷 한글 설명
Kimai 오픈소스 시간 추적 애플리케이션의 2.54.0 미만 버전에서 Team API 엔드포인트의 권한 설정 오류가 발견되었습니다. 잘못된 권한 체크로 인해 Symfony TeamVoter가 검증을 건너뛰게 되어, edit_team 권한을 가진 사용자가 자신이 관리하지 않는 다른 팀의 정보까지 수정할 수 있는 취약점이 존재합니다.
💡 쉬운 설명
팀을 수정할 수 있는 권한이 있는 사용자라면, 원래는 자기가 속한 팀만 고칠 수 있어야 하는데 다른 사람의 팀 정보까지 마음대로 바꿀 수 있는 문제입니다. 권한 확인 절차가 제대로 작동하지 않아 발생하는 보안 허점입니다.
🇺🇸 원문 (English)
Kimai is an open-source time tracking application. Prior to version 2.54.0, the Team API endpoints use #[IsGranted('edit_team')] instead of #[IsGranted('edit', 'team')], causing Symfony TeamVoter to abstain from voting. This removes entity-level ownership checks on team operations, allowing any user with the edit_team permission to modify any team, not just teams they are authorized to manage. This issue has been patched in version 2.54.0.
📍 영향받는 시스템
Kimai version < 2.54.0
⚔️ 공격 벡터
edit_team 권한을 가진 사용자가 API를 통해 권한이 없는 타 팀의 엔드포인트에 수정 요청을 전송
🛡️ 대응 방법
Kimai를 최신 버전인 2.54.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.54.0 미만인지 확인하여 취약 여부를 판단합니다.
php bin/console --version | grep -E 'Kimai'