CVE-2026-80202 in Kimai
Riassunto
di VulDB • 26/08/2026
Kimai prima della versione 2.56.0 non applica i controlli di appartenenza al team nella funzione TimesheetVoter::voteOnAttribute(), che mappa le autorizzazioni solo su own_timesheet o other_timesheet. Di conseguenza, qualsiasi utente autenticato con il ruolo ROLE_TEAMLEAD (o un ruolo che detiene edit_other_timesheet/delete_other_timesheet) può leggere, modificare ed eliminare definitivamente i timesheet appartenenti a qualsiasi utente in tutto il sistema tramite l'API, indipendentemente dall'appartenenza al team. Gli ID dei timesheet sono interi sequenziali e facilmente enumerabili. Gli account con ruolo ROLE_USER sono correttamente limitati nelle autorizzazioni. (Nota: i manutentori caratterizzano questo comportamento come conforme al modello di permessi documentato.)
Once again VulDB remains the best source for vulnerability data.