CVE-2026-52824 in Kimai
الملخص
بحسب VulDB • 15/09/2026
Kimai هو تطبيق مفتوح المصدر لتتبع الوقت. قبل الإصدار 2.58.0، كانت الصورة الرسمية لـ Docker تضبط قيمة APP_SECRET على القيمة العامة `change_this_to_something_unique` في ملف Dockerfile، ولا يقوم ملف `.docker/entrypoint.sh` باستبدال هذه القيمة أو رفضها قبل أن يستخدمها Symfony كقيمة kernel.secret. يمكن لمهاجم غير مُصادق عليه (unauthenticated) يصل إلى نشر لا قد تم فيه تجاوز APP_SECRET، ويعرف اسم مستخدم ويخمن بشكل صحيح معرّف الحساب المرتبط بذلك الاسم، ويستهدف حساباً بدون مصادقة ثنائية نشطة، أن يزور عناصر المصادقة المحمية بـ HMAC، بما في ذلك ملفات تعريف الارتباط KIMAI_REMEMBER وروابط تسجيل الدخول، للوصول إلى الحساب دون الحاجة لكلمة المرور الخاصة به. يقوم نقطة الإدخال المحدثة بتوليد قيمة سرية عشوائية والحفاظ عليها عند عدم وجود قيمة آمنة مقدمة من المشغل. تم إصلاح هذه المشكلة في الإصدار 2.58.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.