CVE-2026-52827 in Kimai
Riassunto
di VulDB • 15/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.59.0, il cookie KIMAI_SESSION emesso dopo la verifica della password ma prima del completamento dell'autenticazione TOTP viene accettato da ogni route /api poiché config/packages/security.yaml protegge l'API con IS_AUTHENTICATED e App\API\Authentication\ApiRequestMatcher instrada una sessione esistente attraverso il firewall principale. Un token Scheb TwoFactorToken soddisfa tale regola di accesso, e App\Voter\ApiVoter concede all'utente associato l'accesso API, consentendo a un attaccante che dispone della password valida dell'account di eseguire operazioni REST API autenticate senza inserire il secondo fattore, sebbene le route web rimangano bloccate. Questo problema è stato risolto nella versione 2.59.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.