CVE-2026-52824 in Kimai
Zusammenfassung
von VulDB • 15.09.2026
Kimai ist eine Open-Source-Zeiterfassungsanwendung. Vor Version 2.58.0 setzt das offizielle Docker-Bild APP_SECRET auf den öffentlichen Wert „change_this_to_something_unique“ in der Dockerfile, und .docker/entrypoint.sh ersetzt oder lehnt diesen Wert nicht ab, bevor Symfony ihn als kernel.secret verwendet. Ein nicht authentifizierter Angreifer, der eine Bereitstellung erreicht hat, die APP_SECRET nicht überschrieben hat, einen Benutzernamen kennt, die dem Benutzernamen zugeordnete Konto-ID korrekt errät und ein Konto ohne aktive Zwei-Faktor-Authentifizierung angreift, kann HMAC-geschützte Authentifizierungsartefakte, einschließlich KIMAI_REMEMBER-Cookies und Login-Links, fälschen, um auf das Konto ohne dessen Passwort zuzugreifen. Der aktualisierte Einstiegspunkt generiert und speichert ein zufälliges Geheimnis, wenn kein sicherer, vom Betreiber bereitgestellter Wert vorhanden ist. Dieses Problem wurde in Version 2.58.0 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.