CVE-2026-52820 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.57.0, los endpoints PATCH /api/timesheets/{id} y POST /api/timesheets aceptan un identificador de proyecto controlado por el usuario a través de TimesheetApiEditForm y FormTrait, y ProjectRepository::getQueryBuilderForFormType() coloca ese identificador en una rama OR incondicional que omite los criterios de acceso al equipo. Por lo tanto, cualquier usuario autenticado con permiso edit_own_timesheet puede asignar un registro de tiempo propio a un proyecto fuera del equipo del usuario, persistir la atribución no autorizada del proyecto y recuperar metadatos del proyecto y del cliente mediante GET /api/timesheets/{id}?full=true. TimesheetTeamAccessValidator ahora verifica las asociaciones de proyectos y actividades modificadas en relación con el acceso actual al equipo. Este problema se soluciona en la versión 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.