CVE-2026-52821 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.57.0, las solicitudes GET o POST a /en/admin/activity/create/{project} y /en/admin/project/create/{customer} requieren únicamente el permiso genérico create_activity o create_project y no verifican los permisos de edición sobre el objeto Project (Proyecto) o Customer (Cliente) proporcionado. Un usuario que conozca un project.id válido o un identificador de cliente puede utilizar la lógica de creación preset-parent en src/Controller/ActivityController.php o src/Controller/ProjectController.php para persistir un nuevo objeto empresarial secundario bajo un padre no autorizado, lo que contamina la configuración del proyecto o del cliente e influye posteriormente en el registro de tiempo, las tarifas, los informes y el comportamiento de facturación. Este problema se soluciona en la versión 2.57.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.