CVE-2026-52823 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.58.0, TimesheetController espone gli endpoint GET /api/timesheets/{id}/stop e GET /api/timesheets/{id}/restart, che riutilizzano una sessione browser autenticata ed eseguono operazioni in grado di modificare lo stato tramite richieste GET senza alcuna difesa contro la request forgery (CSRF). Un attaccante remoto può indurre un utente già connesso a richiedere uno dei due endpoint da contenuti controllati dall'attaccante, interrompendo un timesheet in esecuzione o riavviando una voce storica per creare e avviare un nuovo timesheet senza il consenso dell'utente. Le modifiche non autorizzate possono corrompere i record delle ore lavorate, le fatturazioni, i report, le approvazioni e gli audit. Questo problema è risolto nella versione 2.58.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.