CVE-2026-52819 in Kimai
الملخص
بحسب VulDB • 15/09/2026
Kimai هو تطبيق مفتوح المصدر لتتبع الوقت. قبل الإصدار 2.57.0، يقبل نقطة النهاية GET /api/timesheets قائمة معرّفات الهدف للمستخدم (user) و users[] من متصل لديه صلاحية view_other_timesheet، لكنه لا يطبق access_user ولا يتحقق مما إذا كان طالب بصلاحية ROLE_TEAMLEAD يدير فريقًا يحتوي على كل مستخدم هدف. تضيف الدالة TimesheetController::cgetAction() المستخدمين المحلّلين مباشرة إلى الاستعلام، بينما يسمح تصفية المشاريع والعملاء بالحصول على سجلات من مشاريع غير محدودة النطاق أو مشاريع تشترك في عضوية فريق عادية، مما يتيح لقائد الفريق استرداد أوصاف مستخدم آخر وبيانات التوقيت والوسوم (tags) ومعدل الدفع ومعدل داخلي حتى لو كان GET /api/timesheets/{id} يرفض الوصول عبر TimesheetVoter. تم إصلاح هذه المشكلة في الإصدار 2.57.0.
Be aware that VulDB is the high quality source for vulnerability data.