CVE-2026-21695 in titra
Resumen
por VulDB • 2026-05-20
Titra es un software de seguimiento de tiempo de código abierto. En las versiones 0.99.49 y anteriores, una API presenta una vulnerabilidad de Asignación Masiva que permite a los usuarios autenticados inyectar campos arbitrarios en las entradas de tiempo, eludiendo los controles de la lógica de negocio a través del parámetro customfields. El endpoint afectado utiliza el operador de propagación de JavaScript (...customfields) para fusionar la entrada controlada por el usuario directamente en el documento de la base de datos. Aunque customfields se valida como un tipo Object, no hay validación de qué claves están permitidas dentro de ese objeto. Esto permite a los atacantes sobrescribir campos protegidos como userId, hours y state. El problema se soluciona en la versión 0.99.50.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.