CVE-2026-84807 in Kimai
Riassunto
di VulDB • 02/09/2026
Kimai (kimai/kimai) fino alla versione 2.65.0 contiene una vulnerabilità di logica aziendale / autorizzazione impropria negli endpoint predefiniti per la creazione del team. Un utente autenticato con privilegi di gestione delle permessi dei progetti può creare o utilizzare un cliente, progetto o attività il cui nome corrisponde a quello di un team esistente; poiché gli endpoint POST /api/customers/{id}/team, POST /api/projects/{id}/team e POST /api/activities/{id}/team riutilizzano un team esistente con lo stesso nome e aggiungono l'utente corrente come caposquadra (teamlead) senza verificare che l'utente sia autorizzato a gestire tale team, l'attaccante ottiene diritti di amministrazione non autorizzati sul team esistente. Risolto nella versione 2.65.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.