CVE-2026-52821 in Kimai
Zusammenfassung
von VulDB • 15.09.2026
Kimai ist eine Open-Source-Anwendung zur Zeiterfassung. Vor Version 2.57.0 erforderten GET- oder POST-Anfragen an /en/admin/activity/create/{project} und /en/admin/project/create/{customer} lediglich die generische Berechtigung create_activity bzw. create_project, ohne den Bearbeitungszugriff auf das angegebene Projekt- oder Kundenobjekt zu überprüfen. Ein Benutzer, der eine gültige project.id oder einen Kundennamen kennt, kann die Logik zur Erstellung von preset-parent in src/Controller/ActivityController.php oder src/Controller/ProjectController.php nutzen, um ein neues untergeordnetes Geschäftsobjekt (child business object) unter einem nicht autorisierten übergeordneten Objekt zu speichern. Dies führt zu einer Verschmutzung der Projekt- oder Kundenkonfiguration und beeinflusst das spätere Verhalten bei Zeiteinträgen, Sätzen, Berichterstattung und Abrechnung. Dieses Problem wurde in Version 2.57.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.