CVE-2026-52820 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.57.0, les points d'API `PATCH /api/timesheets/{id}` et `POST /api/timesheets` acceptent un identifiant de projet contrôlé par l'utilisateur via `TimesheetApiEditForm` et `FormTrait`, et `ProjectRepository::getQueryBuilderForFormType()` place cet identifiant dans une branche OR inconditionnelle qui contourne les critères d'accès aux équipes. Tout utilisateur authentifié disposant du droit `edit_own_timesheet` peut ainsi attribuer un journal de temps qu'il possède à un projet en dehors des équipes de l'utilisateur, persister une attribution non autorisée au niveau du projet et récupérer les métadonnées du projet et du client via `GET /api/timesheets/{id}?full=true`. Le validateur `TimesheetTeamAccessValidator` vérifie désormais les associations modifiées entre le projet et l'activité par rapport à l'accès actuel aux équipes. Ce problème est corrigé dans la version 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.