CVE-2026-76806

Solidtime açık kaynaklı bir zaman takip uygulamasıdır. 0.16.0 sürümünden önce, TogglDataImporter::importData() fonksiyonu, yüklenen ZIP içe aktarmalarındaki projects.json dosyasından saldırgan tarafından kontrol edilen proje kimliği değerlerini okuyor ve bunları herhangi bir doğrulama yapmadan dosya sistemi yollarına ekliyordu. Spatie\TemporaryDirectory\TemporaryDirectory::path() eksik üst dizinleri oluşturduğu için, dizin gezginleme (traversal) dizileri geçici kum havuzundan çıkabilir ve yazılabilir rastgele ana bilgisayar yollarında dizinler oluşturabilirdi. Mevcut hedefler ile eksik hedefler için farklılaşan ImportController yanıtları, içe aktarıcı her zaman .json uzantısını eklediği için projects_users/{id}.json veya tasks/{id}.json üzerinden türetilen son ek kısıtlamalı ana bilgisayar yollarının mevcut olup olmadığını açığa çıkarıyordu. Bir organizasyon oluşturabilen ve type=toggl_data_importer parametresiyle POST /api/v1/organizations/{org}/import uç noktasını kullanabilen herhangi bir kayıtlı kullanıcı bu açıktan yararlanarak, dizin tüketimi yoluyla düşük düzeyde kullanılabilirlik etkisine neden olabilir ve ana bilgisayar düzen bilgilerini ifşa edebilirdi. Bu sorun 0.16.0 sürümünde düzeltilmiştir.