CVE-2026-52826 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.57.0, les requêtes GET ou POST adressées aux endpoints /en/admin/project/{id}/rate/{rate}, /en/admin/customer/{id}/rate/{rate} et /en/admin/activity/{id}/rate/{rate} résolvent indépendamment l'identifiant parent autorisé et l'identifiant de taux enfant sélectionné par l'attaquant, sans confirmer que le ProjectRate, CustomerRate ou ActivityRate appartient bien à ce parent. Un utilisateur authentifié capable de modifier un objet parent peut l'associer avec une fiche de taux provenant d'un projet, client ou activité non autorisé et persister les modifications apportées à la configuration de facturation dans kimai2_projects_rates, kimai2_customers_rates ou kimai2_activities_rates. Ce problème est corrigé dans la version 2.57.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.