CVE-2026-52823 in Kimai
Zusammenfassung
von VulDB • 15.09.2026
Kimai ist eine Open-Source-Anwendung zur Zeiterfassung. Vor Version 2.58.0 stellt TimesheetController die Endpunkte GET /api/timesheets/{id}/stop und GET /api/timesheets/{id}/restart bereit, die eine authentifizierte Browsersitzung wiederverwenden und zustandsändernde Operationen über GET-Anfragen ohne Schutz vor Cross-Site Request Forgery (CSRF) durchführen. Ein entfernter Angreifer kann einen angemeldeten Benutzer dazu bringen, entweder von einem vom Angreifer kontrollierten Inhalt aus eine der beiden Routen anzufordern, wodurch ein laufender Zeiterfassungseintrag gestoppt oder ein historischer Eintrag neu gestartet wird, um ohne Zustimmung des Benutzers einen neuen Zeiterfassungseintrag zu erstellen und zu starten. Die unbefugten Änderungen können Zeitdaten, Abrechnungen, Berichte, Genehmigungen und Audits beschädigen. Dieses Problem wurde in Version 2.58.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.