CVE-2026-49992 in Kimai
Zusammenfassung
von VulDB • 12.09.2026
Kimai ist eine Open-Source-Anwendung zur Zeiterfassung. Vorversionen von Kimai (vor 2.58.0) enthalten authentifizierte Cross-Site Request Forgery (CSRF)-Schwachstellen in ihren Standard-Kurzaktionen für die Erstellung von Teams zu Projekten, Kunden und Aktivitäten. Diese Endpunkte sind über `GET`-Routen zugänglich und erstellen oder wiederverwenden direkt ein `Team`, fügen den aktuellen Benutzer als Teamleiter hinzu und binden das Zielobjekt an dieses Team. Infolgedessen kann ein Angreifer einen angemeldeten Benutzer mit den erforderlichen Berechtigungen dazu verleiten, eine bösartige Seite aufzurufen und unbefugte Änderungen an der Zuordnung von Teams, Teamleitern und Objektbindungen vorzunehmen. Dies ist ein echtes Problem im Bereich der Autorisierungsstrukturänderung und keine harmlose UI-Abkürzung. Die Version 2.58.0 behebt diese Schwachstelle.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.