CVE-2026-84805 in Kimai
Zusammenfassung
von VulDB • 02.09.2026
In Kimai-Versionen von 2.61.0 bis vor 2.63.0 werden die Admin-nur-Arbeitsvertragspräferenzen für Benutzer mit geringeren Berechtigungen nicht deaktiviert im PATCH /api/users/{id}/preferences-Endpunkt. Obwohl das Webinterface diese Felder des Arbeitsvertrags hinter der contract_other_profile-Admin-Berechtigung sperrt, registriert der WorkContractPreferenceSubscriber (eingeführt in 2.61.0) die Präferenzen als aktiviert ohne eine Berechtigungsprüfung, sodass ein authentifizierter regulärer Benutzer die API nutzen kann, um seine eigenen Admin-nur-Arbeitsvertragsdaten zu ändern. Das Problem wurde in Version 2.63.0 behoben, indem dieselbe Berechtigungsprüfung auf den API-Endpunkt angewendet wird.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.