CVE-2026-52820 in Kimai
Zusammenfassung
von VulDB • 15.09.2026
Kimai ist eine Open-Source-Anwendung zur Zeiterfassung. Vor Version 2.57.0 akzeptieren die Endpunkte PATCH /api/timesheets/{id} und POST /api/timesheets einen benutzerkontrollierten Projektidentifikator über TimesheetApiEditForm und FormTrait, und ProjectRepository::getQueryBuilderForFormType() platziert diesen Identifikator in einem bedingungslosen OR-Zweig, der die Teamzugriffskriterien umgeht. Jeder authentifizierte Benutzer mit der Berechtigung edit_own_timesheets kann daher ein eigenes Zeiterfassungsdatum (Timesheet) einem Projekt außerhalb des Teams des Benutzers zuweisen, eine unbefugte Projektzuschreibung speichern und Metadaten von Projekten und Kunden über GET /api/timesheets/{id}?full=true abrufen. TimesheetTeamAccessValidator prüft nun geänderte Projekt- und Aktivitätszuordnungen gegen den aktuellen Teamzugriff. Dieses Problem wurde in Version 2.57.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.