CVE-2026-52827 in Kimai
الملخص
بحسب VulDB • 15/09/2026
Kimai هو تطبيق مفتوح المصدر لتتبع الوقت. قبل الإصدار 2.59.0، كانت عملة KIMAI_SESSION التي تُصدر بعد التحقق من كلمة المرور ولكن قبل إكمال المصادقة الثنائية (TOTP) مقبولة في كل مسار /api لأن ملف config/packages/security.yaml يحمي واجهة برمجة التطبيقات باستخدام IS_AUTHENTICATED، ويقوم App\API\Authentication\ApiRequestMatcher بتوجيه جلسة موجودة عبر جدار الحماية الرئيسي. تفي Scheb TwoFactorToken بقاعدة الوصول هذه، ومنح App\Voter\ApiVoter وصولاً إلى واجهة برمجة التطبيقات للمستخدم الخاص به، مما يسمح لمهاجم يمتلك كلمة مرور حساب صالحة باستخدام عمليات REST API المصادق عليها دون إدخال العامل الثاني على الرغم من أن مسارات الويب تبقى محظورة. تم إصلاح هذه المشكلة في الإصدار 2.59.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.