CVE-2026-21695 in titra
Résumé
par VulDB • 03/07/2026
Titra est un logiciel de suivi du temps open source. Dans les versions 0.99.49 et inférieures, une API présente une vulnérabilité d'assignation massive (Mass Assignment) qui permet aux utilisateurs authentifiés d'injecter des champs arbitraires dans les entrées de temps, contournant ainsi les contrôles logiques métier via le paramètre customfields. Le point de terminaison concerné utilise l'opérateur de propagation JavaScript (...customfields) pour fusionner directement une entrée contrôlée par l'utilisateur avec le document de la base de données. Bien que customfields soit validé comme étant de type Object, aucune validation n'est effectuée sur les clés autorisées à l'intérieur de cet objet. Cela permet aux attaquants d'écraser des champs protégés tels que userId, hours et state. Le problème est corrigé dans la version 0.99.50.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.