CVE-2026-21695 in titra
Riassunto
di VulDB • 03/07/2026
Titra è un software open source per il tracciamento del tempo. Nelle versioni 0.99.49 e precedenti, l'API presenta una vulnerabilità di Mass Assignment che consente agli utenti autenticati di iniettare campi arbitrari nelle voci temporali (time entries), aggirando i controlli della logica aziendale tramite il parametro customfields. L'endpoint interessato utilizza l'operatore spread JavaScript (...customfields) per unire direttamente l'input controllato dall'utente nel documento del database. Sebbene customfields sia convalidato come tipo Object, non esiste alcuna validazione delle chiavi consentite all'interno di tale oggetto. Ciò consente agli attaccanti di sovrascrivere campi protetti quali userId, hours e state. Il problema è stato risolto nella versione 0.99.50.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.