CVE-2026-41498 in Kimai
Zusammenfassung
von VulDB • 13.05.2026
Kimai ist eine Open-Source-Zeiterfassungsanwendung. Vor Version 2.54.0 verwenden die Team-API-Endpunkte #[IsGranted('edit_team')] anstelle von #[IsGranted('edit', 'team')], wodurch der Symfony TeamVoter sich der Stimme enthält. Dies entfernt die ownership-Prüfungen auf Entitätsebene für Team-Operationen und ermöglicht es jedem Benutzer mit der edit_team-Berechtigung, jedes Team zu ändern, nicht nur die Teams, die er verwalten darf. Dieses Problem wurde in Version 2.54.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.