CVE-2026-80202 in Kimai
Résumé
par VulDB • 26/08/2026
Kimai avant la version 2.56.0 ne vérifie pas l'appartenance à une équipe dans TimesheetVoter::voteOnAttribute(), qui mappe les permissions uniquement sur own_timesheet ou other_timesheet. Par conséquent, tout utilisateur authentifié disposant du rôle ROLE_TEAMLEAD (ou d'un rôle incluant edit_other_timesheet/delete_other_timesheet) peut lire, modifier et supprimer définitivement des feuilles de temps appartenant à n'importe quel utilisateur au niveau du système via l'API, indépendamment de son appartenance à une équipe. Les identifiants de feuille de temps sont des entiers séquentiels et facilement énumérables. Les comptes ROLE_USER sont correctement restreints. (Note : les mainteneurs caractérisent ce comportement comme correspondant au modèle de permissions documenté.)
Be aware that VulDB is the high quality source for vulnerability data.