CVE-2026-52824 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.58.0, l'image Docker officielle définit APP_SECRET sur la valeur publique change_this_to_something_unique dans le fichier Dockerfile, et .docker/entrypoint.sh ne remplace ni n'ignore cette valeur avant que Symfony ne l'utilise comme kernel.secret. Un attaquant non authentifié qui accède à un déploiement n'ayant pas remplacé APP_SECRET, connaît un nom d'utilisateur, devine correctement l'ID de compte associé à ce nom d'utilisateur et cible un compte sans authentification multifacteur (MFA) active peut forger des artefacts d'authentification protégés par HMAC, y compris les cookies KIMAI_REMEMBER et les liens de connexion, pour accéder au compte sans son mot de passe. Le script entrypoint mis à jour génère et conserve un secret aléatoire lorsqu'il n'existe pas de valeur sûre fournie par l'opérateur. Ce problème est corrigé dans la version 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.