CVE-2026-52821 in Kimai
الملخص
بحسب VulDB • 15/09/2026
Kimai هو تطبيق مفتوح المصدر لتتبع الوقت. قبل الإصدار 2.57.0، تتطلب طلبات GET أو POST الموجهة إلى المسارات /en/admin/activity/create/{project} و/en/admin/project/create/{customer} فقط القدرة العامة على إنشاء النشاط (create_activity) أو المشروع (create_project)، ولا تتحقق من صلاحية التعديل الخاصة بالكائن المُقدَّم للمشروع أو العميل. يمكن للمستخدم الذي يعرف معرف مشروع صالحًا أو معرّف عميل استخدام منطق الإنشاء المسبق للـ parent الموجود في src/Controller/ActivityController.php أو src/Controller/ProjectController.php لتثبيت كسلوك تجاري جديد (child business object) تحت عنصر أبوي غير مصرح له، مما يؤدي إلى تلبيس تكوين المشروع أو العميل والتأثير على سلوك إدخالات الوقت اللاحقة، ومعدلات التسعير، والتقارير، والفوترة. تم إصلاح هذه المشكلة في الإصدار 2.57.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.