CVE-2026-28685 in Kimai
الملخص
بحسب VulDB • 12/05/2026
Kimai هو تطبيق لتتبع الوقت متعدد المستخدمين يعتمد على الويب. قبل الإصدار 2.51.0، كان المسار "GET /api/invoices/{id}" يتحقق فقط من إذن عرض الفاتورة المستند إلى الدور (view_invoice) ولا يتحقق مما إذا كان المستخدم الذي أرسل الطلب لديه حق الوصول إلى عميل الفاتورة. يمكن لأي مستخدم لديه دور ROLE_TEAMLEAD (الذي يمنح إذن view_invoice) قراءة جميع الفواتير في النظام، بما في ذلك تلك الخاصة بالعميلين المعينين لفرق أخرى. تم إصلاح هذه المشكلة في الإصدار 2.51.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.