CVE-2026-52819 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.57.0, l'endpoint GET /api/timesheets list accetta identificatori di destinazione utente e users[] da un chiamante con autorizzazione view_other_timesheet ma non applica i controlli access_user né verifica che un richiedente con ruolo ROLE_TEAMLEAD guidi effettivamente un team contenente ciascun utente target. TimesheetController::cgetAction() aggiunge gli utenti risolti direttamente alla query, mentre il filtraggio per progetto e cliente consente ancora di recuperare record relativi a progetti non scoped o a progetti con una normale appartenenza al team, consentendo a un teamlead di ottenere le descrizioni, i dati temporali, i tag, la tariffa (rate) e la internalRate di un altro utente, anche se l'endpoint GET /api/timesheets/{id} negherebbe l'accesso tramite TimesheetVoter. Questo problema è stato risolto nella versione 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.