🇰🇷 한글 설명
Kimai 2.57.0 미만 버전에서 발생하는 취약점으로, 특정 API 요청 시 대상 프로젝트나 고객에 대한 편집 권한을 검증하지 않습니다. 공격자는 유효한 ID를 사용하여 권한이 없는 상위 객체 아래에 새로운 비즈니스 객체를 생성함으로써 프로젝트 설정 및 청구 프로세스에 영향을 줄 수 있습니다.
💡 쉬운 설명
권한이 없는 사용자가 다른 사람의 프로젝트나 고객 정보 아래에 몰래 새로운 항목을 끼워 넣을 수 있는 보안 결함입니다. 이로 인해 시간 기록이나 비용 청구 데이터가 잘못 계산될 위험이 있습니다.
🇺🇸 원문 (English)
Kimai is an open-source time tracking application. Prior to 2.57.0, GET or POST requests to /en/admin/activity/create/{project} and /en/admin/project/create/{customer} require only the generic create_activity or create_project capability and do not verify edit access to the supplied Project or Customer object. A user who knows a valid project.id or customer identifier can use the preset-parent creation logic in src/Controller/ActivityController.php or src/Controller/ProjectController.php to persist a new child business object under an unauthorized parent, polluting project or customer configuration and influencing later time-entry, rate, reporting, and billing behavior. This issue is fixed in version 2.57.0.
📍 영향받는 시스템
Kimai version < 2.57.0
⚔️ 공격 벡터
조작된 프로젝트/고객 ID를 포함한 GET 또는 POST 요청을 통해 권한 없는 상위 객체에 하위 객체 생성
🛡️ 대응 방법
Kimai를 최신 버전인 2.57.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.57.0 미만인지 확인하여 취약 여부를 판단합니다.
composer show kimai/kimai | grep 'versions'
💻 영향받는 소프트웨어
IBM Security Verify Access