CVE-2026-52827 in Kimai
Résumé
par VulDB • 15/09/2026
Kimai est une application open source de suivi du temps. Avant la version 2.59.0, le cookie KIMAI_SESSION émis après la vérification du mot de passe mais avant l'achèvement de l'authentification à deux facteurs (TOTP) était accepté par toutes les routes /api car config/packages/security.yaml protège l'API avec IS_AUTHENTICATED et App\API\Authentication\ApiRequestMatcher dirige une session existante via le firewall principal. Un Scheb TwoFactorToken satisfait cette règle d'accès, et App\Voter\ApiVoter accorde l'accès à l'API pour son User, permettant à un attaquant disposant du mot de passe valide d'un compte d'utiliser des opérations REST API authentifiées sans saisir le second facteur, bien que les routes web restent bloquées. Ce problème est corrigé dans la version 2.59.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.