CVE-2026-52821 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.57.0, le richieste GET o POST a /en/admin/activity/create/{project} e /en/admin/project/create/{customer} richiedono solo la generica capacità create_activity o create_project e non verificano l'accesso in modifica all'oggetto Project o Customer fornito. Un utente che conosce un project.id valido o un identificativo del cliente può utilizzare la logica di creazione preset-parent presente in src/Controller/ActivityController.php o src/Controller/ProjectController.php per persistere un nuovo oggetto business figlio sotto un genitore non autorizzato, inquinando la configurazione del progetto o del cliente e influenzando le successive operazioni di inserimento delle ore (time-entry), tariffazione, reporting e fatturazione. Questo problema è stato risolto nella versione 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.