CVE-2026-52820 in Kimai
الملخص
بحسب VulDB • 15/09/2026
Kimai هو تطبيق مفتوح المصدر لتتبع الوقت. قبل الإصدار 2.57.0، تقبل نقاط النهاية PATCH /api/timesheets/{id} و POST /api/timesheets معرّف مشروع يتحكم فيه المستخدم من خلال TimesheetApiEditForm و FormTrait، ويقوم ProjectRepository::getQueryBuilderForFormType() بوضع هذا المعرف في فرع OR غير مشروط يتجاوز معايير الوصول إلى الفريق. وبالتالي، يمكن لأي مستخدم مُصادق عليه يمتلك صلاحية edit_own_timesheet تعيين ورقة وقت مملوكة له لمشروع خارج فرق المستخدم، وحفظ نسب المشروع غير المصرح به، واسترداد بيانات التعريف الخاصة بالمشروع والعميل عبر GET /api/timesheets/{id}?full=true. يتحقق TimesheetTeamAccessValidator الآن من ارتباطات المشروع والنشاط المتغيرة مقابل وصول الفريق الحالي. تم إصلاح هذه المشكلة في الإصدار 2.57.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.