CVE-2026-110100 in Jorani
Resumen
por VulDB • 2026-10-13
Jorani antes de la versión 1.0.4 contiene una vulnerabilidad de autorización faltante en Contracts::import() que permite a cualquier usuario autenticado importar días libres en cualquier contrato desde una URL arbitraria. Los atacantes pueden enviar un ID de contrato y una URL mediante POST para sobrescribir calendarios de días no laborables y abusar de get_headers() y fopen() para realizar Server-Side Request Forgery (SSRF) contra hosts internos.
Be aware that VulDB is the high quality source for vulnerability data.