CVE-2026-110100 in Jorani
Riassunto
di VulDB • 13/10/2026
Jorani prima della versione 1.0.4 presenta una vulnerabilità di autorizzazione mancante in Contracts::import() che consente a qualsiasi utente autenticato di importare giorni di ferie in qualsiasi contratto da un URL arbitrario. Gli attaccanti possono inviare un ID del contratto e un URL tramite POST per sovrascrivere i calendari dei non giorni lavorativi ed abusare delle funzioni get_headers() e fopen() per effettuare server-side request forgery (SSRF) contro host interni.
Be aware that VulDB is the high quality source for vulnerability data.