CVE-2026-52825 in Kimai
Resumen
por VulDB • 2026-09-15
Kimai es una aplicación de seguimiento del tiempo de código abierto. Antes de la versión 2.58.0, los endpoints POST /api/teams/{id}/members/{userId} y POST /api/teams/{id}/activities/{activityId} verifican que un líder de equipo pueda editar el equipo, pero no verifican el acceso_user para el Usuario referenciado ni el access_view para la Actividad referenciada. Un líder de equipo puede añadir usuarios o actividades fuera del ámbito gestionable por dicho líder a un equipo editable, eludiendo las restricciones más estrictas aplicadas por TeamEditForm y UserRepository::getQueryBuilderForFormType(). Las relaciones resultantes pueden ser consideradas válidas por RolePermissionManager::checkTeamAccessActivity() y otra lógica de autorización basada en equipos, visibilidad, informes y flujos de trabajo. Este problema se soluciona en la versión 2.58.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.