CVE-2026-76806

Nome do Software Vulnerável e Versões Afetadas Solidtime versões anteriores a 0.16.0

Descrição Existe um problema onde a função importData() no TogglDataImporter processa valores de ID de projeto do arquivo projects.json em importações ZIP carregadas sem a devida validação. Ao utilizar sequências de travessia, um invasor pode escapar do sandbox temporário e criar diretórios em caminhos arbitrários graváveis no host. Além disso, o ImportController fornece respostas distinguíveis que revelam a existência de caminhos no host derivados de projects users/{id}.json ou tasks/{id}.json. Um usuário registrado pode acionar esse comportamento através do endpoint POST '/api/v1/organizations/{org}/import' definindo o parâmetro type como toggl data importer, podendo causar exaustão de diretórios e a divulgação de informações do layout do host.

Recomendações Atualizar para a versão 0.16.0.