CVE-2026-52825 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.58.0, gli endpoint POST /api/teams/{id}/members/{userId} e POST /api/teams/{id}/activities/{activityId} verificano che un teamlead possa modificare il Team, ma non verificano l'accesso_user per l'User di riferimento né il view access per l'Activity di riferimento. Un teamlead può aggiungere utenti o attività al di fuori dell'ambito gestibile dal teamlead a un team modificabile, aggirando le scelte più ristrette imposte da TeamEditForm e UserRepository::getQueryBuilderForFormType(). Le relazioni risultanti possono essere considerate attendibili da RolePermissionManager::checkTeamAccessActivity() e da altre logiche di autorizzazione basata sul team, visibilità, reporting e workflow. Questo problema è risolto nella versione 2.58.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.