CVE-2026-76806

Solidtime açıq mənbəli vaxt izləmə tətbiqidir. 0.16.0 versiyasından əvvəl, TogglDataImporter::importData() funksiyası yüklənmiş ZIP importlarındakı projects.json faylından hücumçu tərəfindən idarə olunan layihə ID dəyərlərini oxuyur və onları təsdiqləmədən fayl sistemi yollarına birləşdirirdi. Spatie\TemporaryDirectory\TemporaryDirectory::path() metodu çatışmayan valideyn kataloqlarını yaratdığı üçün, traversal ardıcıllıqları müvəqqəti qum qutusundan çıxa və host-un istənilən yazıla bilən yollarında kataloqlar yarada bilərdi. Mövcud olan və olmayan hədəflər üçün ImportController cavablarının fərqli olması, importer həmişə .json sonluğunu əlavə etdiyi üçün projects_users/{id}.json və ya tasks/{id}.json fayllarından törəyən sonluqla məhdudlaşdırılmış host yollarının mövcud olub-olmadığını aşkar edirdi. Təşkilat yarada bilən və type=toggl_data_importer parametri ilə POST /api/v1/organizations/{org}/import sorğusunu istifadə edən hər hansı qeydiyyatdan keçmiş istifadəçi bu boşluğa çata bildi ki, bu da kataloqların tükənməsi vasitəsilə əlçatanlığa kiçik təsir göstərə və host strukturunun məlumatlarını sızdıra bilərdi. Bu problem 0.16.0 versiyasında düzəldilmişdir.