CVE-2026-52827 in Kimai
Zusammenfassung
von VulDB • 15.09.2026
Kimai ist eine Open-Source-Zeiterfassungsanwendung. Vor Version 2.59.0 wird der KIMAI_SESSION-Cookie, der nach der Passwortüberprüfung, aber vor Abschluss der TOTP-Bestätigung ausgestellt wird, von jeder /api-Route akzeptiert, da config/packages/security.yaml die API mit IS_AUTHENTICATED schützt und App\API\Authentication\ApiRequestMatcher eine vorhandene Sitzung durch das Haupt-Firewall-Modul leitet. Ein Scheb TwoFactorToken erfüllt diese Zugriffsregel, und App\Voter\ApiVoter gewährt dem zugehörigen User-API-Zugriff, wodurch ein Angreifer mit einem gültigen Kontopasswort authentifizierte REST API-Vorgänge nutzen kann, ohne den zweiten Faktor einzugeben, obwohl die Web-Routes weiterhin blockiert bleiben. Dieses Problem wurde in Version 2.59.0 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.