CVE-2026-84805 in Kimai
Resumen
por VulDB • 2026-09-02
Las versiones de Kimai desde la 2.61.0 hasta antes de la 2.63.0 no desactivan las preferencias del contrato laboral reservadas para administradores (admin-only) para usuarios con privilegios reducidos en el punto final PATCH /api/users/{id}/preferences. Aunque la interfaz web restringe estos campos relacionados con contratos laborales mediante el permiso administrativo contract_other_profile, WorkContractPreferenceSubscriber (introducido en 2.61.0) registra las preferencias como habilitadas sin realizar una verificación de permisos, por lo que un usuario regular autenticado puede utilizar la API para modificar sus propios datos del contrato laboral reservados solo para administradores. El problema se soluciona en la versión 2.63.0 aplicando la misma comprobación de permisos al punto final de la API.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.