🇰🇷 한글 설명
2.65.0 미만 버전의 Kimai REST API 타임시트 컬렉션 엔드포인트에서 권한 우회 취약점이 발견되었습니다. view_other_timesheet 권한을 가진 사용자가 자신이 속하지 않은 팀의 활동(activity)을 사용하여 타임시트를 조회함으로써 데이터 격리 정책을 우회할 수 있습니다.
💡 쉬운 설명
Kimai라는 시간 관리 프로그램에서 권한이 있는 사용자가 허용되지 않은 다른 팀의 업무 기록을 몰래 볼 수 있는 보안 결함이 있습니다. 이는 팀 간의 데이터 분리 규칙이 제대로 작동하지 않아 발생합니다.
🇺🇸 원문 (English)
Kimai versions before 2.65.0 contain an authorization bypass vulnerability in the REST API timesheet collection endpoint that fails to enforce activity-team access controls. Users with view_other_timesheet permission can list timesheets using activities restricted to teams they do not belong to, bypassing intended data isolation.
📍 영향받는 시스템
Kimai versions before 2.65.0
⚔️ 공격 벡터
REST API의 타임시트 엔드포인트를 통해 권한이 없는 팀의 활동 ID를 사용하여 데이터 조회
🛡️ 대응 방법
Kimai를 2.65.0 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 2.65.0 미만인지 확인하십시오.
composer show kimai/kimai | grep 'versions'