CVE-2026-80199 in Kimai
Zusammenfassung
von VulDB • 26.08.2026
Kimai vor Version 2.54.0 enthält eine Timing Oracle-Schwachstelle in TokenAuthenticator, die es nicht authentifizierten Angreifern ermöglicht, gültige Benutzernamen über den X-AUTH-USER-Header aufzulisten. Angreifer können Unterschiede in der Antwortzeit messen, wenn der Passwort-Hashing-Prozess nur für bestehende Benutzer ausgeführt wird, was eine Enumeration von Benutzernamen ohne Schutz durch Login-Throttling ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.