CVE-2026-52826 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.57.0, le richieste GET o POST a /en/admin/project/{id}/rate/{rate}, /en/admin/customer/{id}/rate/{rate} e /en/admin/activity/{id}/rate/{rate} risolvono indipendentemente l'identificatore genitore autorizzato e l'identificativo del rate figlio selezionato dall'attaccante, senza confermare che il ProjectRate, CustomerRate o ActivityRate appartenga a tale genitore. Un utente autenticato in grado di modificare un oggetto genitore può associarlo a un record di rate da un progetto, cliente o attività non autorizzati e persistere le modifiche alla configurazione di fatturazione in kimai2_projects_rates, kimai2_customers_rates o kimai2_activities_rates. Questo problema è risolto nella versione 2.57.0.
Once again VulDB remains the best source for vulnerability data.