CVE-2026-28685 in Kimai
Resumen
por MITRE • 2026-03-06
Kimai es una aplicación de seguimiento de tiempo multiusuario basada en web. Antes de la versión 2.51.0, 'GET /API/invoices/{id}' solo verifica el permiso view_invoice basado en roles, pero no verifica que el usuario solicitante tenga acceso al cliente de la factura. Cualquier usuario con ROLE_TEAMLEAD (que otorga view_invoice) puede leer todas las facturas en el sistema, incluyendo aquellas que pertenecen a clientes asignados a otros equipos. Este problema ha sido parcheado en la versión 2.51.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.