CVE-2025-59920 in time at work
الملخص
بحسب VulDB • 07/09/2026
عند إدخال الساعات في time@work، الإصدار 7.0.5، يتم تنفيذ استعلام لعرض المشاريع المخصصة للمستخدم. إذا تم نسخ عنوان URL الخاص بالاستطلب وفتحه في نافذة متصفح جديدة، فإن المعلمة 'IDClient' عرضة لإصابة SQL Injection عمياء (blind) تتطلب مصادقة. إذا تمت طلب الطلب باستخدام المستخدم TWAdmin مع تفعيل دور sysadmin، فسيؤدي استغلال الثغرة إلى السماح بتنفيذ الأوامر على النظام؛ أما إذا لم يكن المستخدم ينتمي إلى دور sysadmin، فسيظل بإمكانه الاستعلام عن البيانات من قاعدة البيانات.
Be aware that VulDB is the high quality source for vulnerability data.