CVE-2026-52819 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.57.0, le point de terminaison GET /api/timesheets accepte les identifiants cibles user et users[] provenant d'un appelant disposant des droits view_other_timesheet, mais n'applique pas la restriction access_user ni ne vérifie que l'utilisateur demandeur avec le rôle ROLE_TEAMLEAD dirige une équipe contenant chaque utilisateur cible. La méthode TimesheetController::cgetAction() ajoute les utilisateurs résolus directement à la requête, tandis que le filtrage par projet et client permet toujours de récupérer des enregistrements sur des projets non limités ou des projets partageant un simple appartenance d'équipe ordinaire, permettant ainsi à un chef d'équipe (teamlead) de récupérer les descriptions, les données de chronométrage, les étiquettes, le taux horaire et le taux interne d'un autre utilisateur, bien que l'accès via GET /api/timesheets/{id} soit refusé par TimesheetVoter. Ce problème est corrigé dans la version 2.57.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.