CVE-2026-47236
Açıklama
Solidtime açık kaynaklı bir zaman takip uygulamasıdır. Versiyon 0.12.2 öncesinde Solidtime, resmi davetler ve üyeler API'sini kısıtlayan açık invitations:view ve members:view izinleri tanımlamıştır. Jetstream web ekip sayfası, erişime yalnızca belongsToTeam() ile yetki vermekte ve ardından tüm bekleyen davet epostalarını ve üyeleri Inertia prop'ları olarak yükleyip serileştirmektedir. Organizasyona ait olan herhangi bir çalışan, aynı kullanıcı API üzerinden engellenmiş olsa bile, ekip sayfası gövdesindeki serileştirilmiş inertia verileri aracılığıyla bekleyen davet eposta adreslerini ve üyeleri okuyabilir. Bu sorun versiyon 0.12.2 ile düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| solidtime-io solidtime | < 0.12.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.