CVE-2026-52820 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.57.0, gli endpoint PATCH /api/timesheets/{id} e POST /api/timesheets accettano un identificatore di progetto controllato dall'utente tramite TimesheetApiEditForm e FormTrait, mentre ProjectRepository::getQueryBuilderForFormType() inserisce tale identificatore in una ramificazione OR incondizionata che aggira i criteri di accesso al team. Di conseguenza, qualsiasi utente autenticato con il permesso edit_own_timesheet può assegnare un timesheet di propria proprietà a un progetto esterno ai team dell'utente, memorizzare attribuzioni non autorizzate del progetto e recuperare metadati del progetto e del cliente tramite GET /api/timesheets/{id}?full=true. TimesheetTeamAccessValidator ora verifica le associazioni modificate tra progetto e attività rispetto all'accesso corrente al team. Questo problema è risolto nella versione 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.