Titraはオープンソースのプロジェクト時間追跡ソフトウェアです。バージョン0.99.49およびそれ以下では、認証済みユーザーがcustomfieldsパラメータを介して任意のフィールドを時間エントリに注入し、ビジネスロジックの制御を回避できるMass Assignmentの脆弱性があります。影響を受けるエンドポイントはJavaScriptのスプレッド演算子（...customfields）を使用してユーザー制御の入力を直接データベースドキュメントにマージします。customfieldsはObject型として検証されますが、その中で許可されるキーの検証は行われていません。これにより攻撃者はuserId、hours、stateといった保護されたフィールドを上書きできます。この問題はバージョン0.99.50で修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。