CVE-2026-52824 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.58.0, la imagen oficial de Docker establece APP_SECRET con el valor público `change_this_to_something_unique` en el Dockerfile, y `.docker/entrypoint.sh` ni reemplaza ni rechaza ese valor antes de que Symfony lo utilice como kernel.secret. Un atacante no autenticado que acceda a un despliegue donde no se haya sobrescrito APP_SECRET, conozca un nombre de usuario, adivine correctamente el ID de cuenta asociado con dicho nombre de usuario y tenga como objetivo una cuenta sin autenticación de dos factores (2FA) activa, puede falsificar artefactos de autenticación protegidos mediante HMAC, incluidas las cookies KIMAI_REMEMBER y los enlaces de inicio de sesión, para acceder a la cuenta sin necesidad de su contraseña. La entrada actualizada genera y persiste un valor secreto aleatorio cuando no existe ningún valor seguro proporcionado por el operador. Este problema está resuelto en la versión 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.