CVE-2026-49992 in Kimai
要約
〜によって VulDB • 2026年09月11日
Kimaiはオープンソースの時間追跡アプリケーションです。バージョン2.58.0より前のバージョンには、プロジェクト、顧客、およびアクティビティ用のデフォルトのチーム作成ショートカットにおける認証済みクロスサイトリクエストフォージェリ（CSRF）の問題が含まれています。これらのエンドポイントは `GET` ルートを通じて公開されており、直接 `Team` を作成または再利用し、現在のユーザーをチームリーダーとして追加して、対象オブジェクトをそのチームにバインドします。これにより、攻撃者は必要な権限を持つログイン済みユーザーを悪意のあるページへ訪問させることで、チーム、チームリーダー、およびオブジェクトのバインディング関係に対する不正な変更を引き起こすことができます。これは無害なUIショートカットではなく、実際の認可構造の変更に関する問題です。バージョン2.58.0でこの問題は修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.