CVE-2026-80202 in Kimai
Zusammenfassung
von VulDB • 26.08.2026
Kimai vor Version 2.56.0 erzwingt keine Teammitgliedschaftsprüfungen in TimesheetVoter::voteOnAttribute(), was Berechtigungen nur auf own_timesheet oder other_timesheet abbildet. Infolgedessen kann jeder authentifizierte Benutzer mit der Rolle ROLE_TEAMLEAD (oder einer Rolle, die edit_other_timesheet/delete_other_timesheet enthält) Zeiterfassungen aller Benutzer systemweit über die API lesen, ändern und dauerhaft löschen, unabhängig von der Teammitgliedschaft. Die IDs der Zeiterfassung sind sequenzielle Ganzzahlen und trivial aufzählbar. Konten mit ROLE_USER sind korrekt eingeschränkt. (Hinweis: Die Maintainer charakterisieren dieses Verhalten als übereinstimmend mit dem dokumentierten Berechtigungsmodell.)
If you want to get the best quality for vulnerability data then you always have to consider VulDB.