CVE-2021-43851
Açıklama
Anuko Time Tracker, PHP ile yazılmış açık kaynaklı ve web tabanlı bir zaman takip uygulamasıdır. Time Tracker sürüm 1.19.33.5606 ve öncesinde, POST isteklerindeki "group" ve "status" parametrelerinin uygun şekilde kontrol edilmemesi nedeniyle birden fazla dosyada SQL injection zafiyeti bulunmaktadır. Group parametresi, organizasyonel alt gruplar arasında gezinirken gönderilmektedir (groups.php dosyası). Status parametresi, bir projenin, görevin veya kullanıcının pasif hale getirilmesi gibi bir varlığın durumunu değiştirmek için birden fazla dosyada kullanılmaktadır. Bu sorun 1.19.33.5607 sürümünde düzeltilmiştir. Yükseltme yapılması şiddetle önerilir. Eğer yükseltme pratik değilse, son sürümde olduğu gibi ttValidStatus fonksiyonu eklenmeli ve status alanının kullanıldığı tüm kullanıcı girişi kontrol bloklarında bu fonksiyon kullanılmaya başlanmalıdır. groups.php düzeltmesi için ise son sürümdeki gibi ttValidInteger fonksiyonu eklenmeli ve dosyadaki erişim kontrol bloğunda kullanılmalıdır.
Nasıl düzeltilir
- anuko time_tracker1.19.33.5607 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| anuko time_tracker | v < 1.19.33.5607 | 1.19.33.5607 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.