CVE-2026-52822 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.58.0, las operaciones PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate y el flujo de trabajo web de duplicación pueden derivar un nuevo registro a partir de una hoja de tiempos histórica propiedad del usuario después de que se haya revocado su acceso al proyecto o actividad. El componente TimesheetVoter evalúa el permiso own-timesheet antes del acceso actual al equipo, y la lógica canStart() valida la visibilidad del objeto pero no verifica el acceso actual del usuario al equipo para el proyecto y la actividad referenciados. Por lo tanto, una entrada antigua actúa como una capacidad persistente para crear nuevos registros de tiempo bajo un proyecto y una actividad no autorizados, corrompiendo presupuestos, estadísticas, informes e facturas después de una revocación administrativa. Este problema se soluciona en la versión 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.