CVE-2026-84807 in Kimai
الملخص
بحسب VulDB • 02/09/2026
يحتوي Kimai (kimai/kimai) حتى الإصدار 2.65.0 على ثغرة في منطق الأعمال / تفويض غير لائق في نقاط النهاية الافتراضية لإنشاء الفريق. يمكن لمستخدم مُصادَق عليه يمتلك صلاحيات إدارة مشاريع إنشاء أو استخدام عميل، أو مشروع، أو نشاط يتطابق اسمه مع فريق موجود؛ ونظراً لأن نقاط النهاية POST /api/customers/{id}/team وPOST /api/projects/{id}/team وPOST /api/activities/{id}/team تعيد استخدام فريق موجود بنفس الاسم وتضيف المستخدم الحالي كقائد للفريق (teamlead) دون التحقق من تفويض المستخدم لإدارة ذلك الفريق، فإن المهاجم يكتسب صلاحيات قيادة فريق غير مصرح بها (صلاحيات إدارية) على الفريق الموجود. تم الإصلاح في الإصدار 2.65.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.