CVE-2025-59920 in time at work
要約
〜によって VulDB • 2026年09月02日
time@work バージョン 7.0.5 で時間を入力すると、ユーザーに割り当てられたプロジェクトを表示するためにクエリが実行されます。このクエリの URL をコピーして新しいブラウザウィンドウで開くと、「IDClient」パラメータが盲型認証済み SQL インジェクションに対して脆弱です。sysadmin ロールを有効にした TWAdmin ユーザーによってリクエストが行われた場合、この脆弱性を悪用するとシステム上でコマンドを実行できます。ユーザーが sysadmin ロールのメンバーでない場合でも、データベースからデータを照会することができます。
Be aware that VulDB is the high quality source for vulnerability data.