CVE-2026-52823 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.58.0, TimesheetController expose les points de terminaison GET /api/timesheets/{id}/stop et GET /api/timesheets/{id}/restart, qui réutilisent une session navigateur authentifiée et effectuent des opérations modifiant l'état via des requêtes GET sans défense contre la falsification de requête (CSRF). Un attaquant distant peut amener un utilisateur connecté à solliciter l'un ou l'autre de ces points de terminaison depuis du contenu contrôlé par l'attaquant, arrêtant ainsi une feuille de temps en cours ou redémarrant une entrée historique pour créer et démarrer une nouvelle feuille de temps sans le consentement de l'utilisateur. Ces modifications non autorisées peuvent corrompre les enregistrements de temps, la facturation, les rapports, les approbations et les audits. Ce problème est corrigé dans la version 2.58.0.
Be aware that VulDB is the high quality source for vulnerability data.