CVE-2026-52825 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.58.0, les points d'API POST /api/teams/{id}/members/{userId} et POST /api/teams/{id}/activities/{activityId} vérifient qu'un chef d'équipe (teamlead) peut modifier l'équipe, mais ne vérifient pas le droit de l'utilisateur référencé ni l'accès en lecture à l'activité référencée. Un chef d'équipe peut ainsi ajouter des utilisateurs ou des activités en dehors du périmètre gérable par ce dernier au sein d'une équipe modifiable, contournant les restrictions plus étroites imposées par TeamEditForm et UserRepository::getQueryBuilderForFormType(). Les relations résultantes sont considérées comme valides par RolePermissionManager::checkTeamAccessActivity() ainsi que par la logique d'autorisation basée sur l'équipe, de visibilité, de reporting et de workflow. Ce problème est corrigé dans la version 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.