🇰🇷 한글 설명
Kimai 2.58.0 미만 버전에서 팀 리더가 자신이 관리할 수 없는 범위의 사용자나 활동을 팀에 임의로 추가할 수 있는 권한 검증 결함이 존재합니다. 이로 인해 팀 기반의 권한 관리, 가시성 및 보고 로직이 우회될 수 있습니다.
💡 쉬운 설명
팀 관리자가 권한이 없는 다른 팀원을 자신의 팀에 강제로 넣거나 관리 범위를 벗어난 활동을 추가할 수 있는 보안 허점입니다. 이로 인해 팀의 데이터 보안과 권한 체계가 무너질 수 있습니다.
🇺🇸 원문 (English)
Kimai is an open-source time tracking application. Prior to 2.58.0, POST /api/teams/{id}/members/{userId} and POST /api/teams/{id}/activities/{activityId} verify that a teamlead may edit the Team but do not verify access_user for the referenced User or view access for the referenced Activity. A teamlead can add users or activities outside the teamlead's manageable scope to an editable team, bypassing the narrower choices enforced by TeamEditForm and UserRepository::getQueryBuilderForFormType(). The resulting relationships can be trusted by RolePermissionManager::checkTeamAccessActivity() and other team-based authorization, visibility, reporting, and workflow logic. This issue is fixed in version 2.58.0.
📍 영향받는 시스템
Kimai version < 2.58.0
⚔️ 공격 벡터
API 엔드포인트를 통한 비정상적인 POST 요청으로 권한 밖의 사용자/활동 추가
🛡️ 대응 방법
Kimai를 최신 버전인 2.58.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.58.0 미만인지 확인하십시오.
composer show kimai/kimai | grep 'versions'
💻 영향받는 소프트웨어
IBM Security Verify Access