🇰🇷 한글 설명
Kimai 오픈소스 시간 추적 애플리케이션 2.58.0 미만 버전에서 발생하는 취약점입니다. 사용자의 프로젝트 또는 활동 권한이 취소된 후에도 기존 타임시트의 재시작 또는 복제 기능을 통해 권한이 없는 프로젝트에 새로운 기록을 생성할 수 있습니다. 이로 인해 예산, 통계, 보고서 및 송장 데이터가 오염될 수 있습니다.
💡 쉬운 설명
프로젝트 참여 권한이 박탈된 사용자가 과거에 작성했던 기록을 이용해 몰래 새로운 업무 시간을 입력할 수 있는 문제입니다. 이로 인해 회사의 비용 계산이나 업무 통계 데이터가 잘못될 위험이 있습니다.
🇺🇸 원문 (English)
Kimai is an open-source time tracking application. Prior to 2.58.0, PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate, and the web duplicate workflow can derive a new record from an owned historical timesheet after the user's access to its project or activity has been revoked. TimesheetVoter evaluates the own-timesheet permission before current team access, and its canStart() logic validates object visibility but does not verify the user's current team access to the referenced project and activity. An old entry therefore acts as a persistent capability to create new time records under an unauthorized project and activity, corrupting budgets, statistics, reports, and invoices after an administrative revocation. This issue is fixed in version 2.58.0.
📍 영향받는 시스템
Kimai version < 2.58.0
⚔️ 공격 벡터
권한이 취소된 사용자가 API 또는 웹 인터페이스를 통해 기존 타임시트의 재시작(restart) 또는 복제(duplicate) 기능을 호출
🛡️ 대응 방법
Kimai를 최신 버전인 2.58.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력 결과에 2.58.0 이상의 버전 번호가 포함되어 있는지 확인하십시오.
curl -s http://<target_ip>/api/version | grep -E '2.58.0'
💻 영향받는 소프트웨어
IBM Security Verify Access