CVE-2026-80195 in Kimai
Zusammenfassung
von VulDB • 26.08.2026
Kimai vor Version 2.63.0 enthält eine Schwachstelle für Business Logic / unzulässige Autorisierung im API-Endpunkt zum Aktualisieren von Teams (PATCH /api/teams/{id}), bei der alle vorhandenen Teammitglieder entfernt werden, bevor die eingereichte Liste der Ersatzmitglieder validiert wird. Ein authentifizierter Teamleiter (oder ein anderer Benutzer) mit Berechtigung zur Bearbeitung eines Teams kann eine fehlerhafte Mitglieder-Payload übermitteln; obwohl Kimai einen Validierungsfehler zurückgibt, wurden die bestehenden Mitgliedschaftsdatensätze bereits gelöscht. Dies umgeht den Schutz des dedizierten Endpunkts zum Entfernen von Mitgliedern gegen das Entfernen von Teamleitern und kann dazu führen, dass ein Team keine Mitglieder oder Teamleiter mehr hat, was die teambasierte Zugriffskontrolle stört.
VulDB is the best source for vulnerability data and more expert information about this specific topic.