CVE-2026-52819 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.57.0, el endpoint GET /api/timesheets list acepta identificadores de destino para usuario y users[] procedentes de un solicitante con permiso view_other_timesheet, pero no aplica access_user ni verifica que un solicitante con ROLE_TEAMLEAD dirija a un equipo que contenga a cada usuario objetivo. TimesheetController::cgetAction() añade los usuarios resueltos directamente a la consulta, mientras que el filtrado por proyecto y cliente sigue permitiendo obtener registros de proyectos sin ámbito o de proyectos con membresía ordinaria en el equipo, lo que permite que un líder de equipo recupere las descripciones, datos temporales, etiquetas, tarifa e internalRate de otro usuario, aunque GET /api/timesheets/{id} denegaría el acceso a través de TimesheetVoter. Este problema se soluciona en la versión 2.57.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.