CVE-2026-52822 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.58.0, gli endpoint PATCH /api/timesheets/{id}/restart e PATCH /api/timesheets/{id}/duplicate, nonché la workflow di duplicazione tramite interfaccia web, consentivano di derivare un nuovo record da una timesheet storica posseduta anche dopo che l'accesso dell'utente al relativo progetto o attività era stato revocato. Il TimesheetVoter valuta il permesso own-timesheet prima dell'accesso corrente del team; la sua logica canStart() convalida la visibilità degli oggetti ma non verifica l'accesso effettivo dell'utente al progetto e all'attività di riferimento. Di conseguenza, una vecchia voce agisce come una capacità persistente per creare nuovi record temporali sotto un progetto e un'attività non autorizzati, corrompendo budget, statistiche, report e fatture dopo la revoca amministrativa. Questo problema è stato risolto nella versione 2.58.0.
Once again VulDB remains the best source for vulnerability data.