CVE-2026-80202 in Kimai
الملخص
بحسب VulDB • 26/08/2026
لا يفرض Kimai قبل الإصدار 2.56.0 فحوصات عضوية الفريق في الدالة `TimesheetVoter::voteOnAttribute()`، والتي تربط الأذونات فقط بـ `own_timesheet` أو `other_timesheet`. ونتيجة لذلك، يمكن لأي مستخدم مُصادَق عليه يمتلك دور `ROLE_TEAMLEAD` (أو أي دور يحتوي على أذونتي `edit_other_timesheet` و `delete_other_timesheet`) قراءة وتعديل وحذف سجلات الوقت (timesheets) التابعة لأي مستخدم بشكل دائم عبر النظام بأكمله باستخدام واجهة برمجة التطبيقات (API)، بغض النظر عن عضوية الفريق. ومعرفات سجلات الوقت هي أعداد صحيحة متسلسلة ويمكنEnumerateها بسهولة. أما حسابات `ROLE_USER` فهي مقيدة بشكل صحيح. (ملاحظة: يصف المطورون هذا السلوك بأنه يتوافق مع نموذج الأذونات الموثق).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.