CVE-2025-69288

RCE w Titra — nieoczyszczona wartość timeEntryRule wykonywana przez NodeVM

CVSS 9.1v3.1pub. 2025-12-31upd. 2026-01-13

Podatność w oprogramowaniu Titra (open source, śledzenie czasu pracy) umożliwia uwierzytelnionemu użytkownikowi z rolą administratora wykonanie dowolnego kodu na serwerze. Brak sanityzacji wprowadzanych danych prowadzi do Remote Code Execution.

▸ Pokaż oryginał (EN)

Titra is open source project time tracking software. Prior to version 0.99.49, Titra allows any authenticated Admin user to modify the timeEntryRule in the database. The value is then passed to a NodeVM value to execute as code. Without sanitization, it leads to a Remote Code Execution. Version 0.99.49 fixes the issue.

🤖 Analiza AI

Jak działa

Uwierzytelniony użytkownik z uprawnieniami administratora może zmodyfikować wartość pola timeEntryRule w bazie danych. Zmodyfikowana wartość jest następnie przekazywana bez jakiejkolwiek sanityzacji do środowiska NodeVM, gdzie zostaje wykonana jako kod. Pozwala to na wstrzyknięcie i uruchomienie dowolnego kodu JavaScript po stronie serwera.

Skutki

Atakujący z uprawnieniami administratora może przejąć pełną kontrolę nad serwerem, uzyskać dostęp do poufnych danych, modyfikować lub niszczyć zasoby systemu, a także użyć skompromitowanego serwera jako punktu wyjścia do dalszych ataków.

Mitygacja

Należy zaktualizować Titra do wersji 0.99.49 lub nowszej, która eliminuje opisaną podatność. Patch dostępny w referencjach producenta na GitHub.

Kogo dotyczy

Kromit Titra w wersjach wcześniejszych niż 0.99.49.

Uwagi

Podatność wymaga uprawnień administratora (PR:H), co ogranicza powierzchnię ataku, jednak wektor sieciowy bez interakcji użytkownika (AV:N, UI:N) i wpływ na poufność, integralność oraz dostępność na poziomie HIGH uzasadniają ocenę CVSS 9.1 ze względu na zakres wykraczający poza atakowany komponent (S:C).