CVE-2026-21695
Təsvir
Titra açıq mənbəli vaxtın izlənilməsi proqram təminatıdır. 0.99.49 və daha aşağı versiyalarda, API-da autentifikasiya olunmuş istifadəçilərə customfields parametri vasitəsilə biznes məntiqi nəzarətini yan keçərək vaxt qeydlərinə ixtiyari sahələri daxil etməyə imkan verən Kütləvi Təyin etmə (Mass Assignment) zəifliyi mövcuddur. Təsirə məruz qalan son nöqtə (endpoint), istifadəçi tərəfindən idarə olunan girişləri birbaşa verilənlər bazası sənədinə birləşdirmək üçün JavaScript yayma operatorundan (...customfields) istifadə edir. customfields Obyekt tipi kimi yoxlanılsa da, həmin obyektin daxilində hansı açarların icazəli olduğuna dair heç bir yoxlama aparılmır. Bu, hücumçulara userId, hours və state kimi qorunan sahələri yenidən yazmağa imkan verir. Problem 0.99.50 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- kromit titra0.99.50 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kromit titra | v < 0.99.50 | 0.99.50 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.