CVE-2026-52820 in Kimai
要約
〜によって VulDB • 2026年09月15日
Kimaiはオープンソースの時間追跡アプリケーションです。バージョン2.57.0より前では、PATCH /api/timesheets/{id}およびPOST /api/timesheetsエンドポイントは、TimesheetApiEditFormとFormTraitを通じてユーザーが制御可能なプロジェクト識別子を受け付けます。ProjectRepository::getQueryBuilderForFormType()は、この識別子をチームアクセス基準をバイパスする無条件のORブランチに配置します。そのため、「edit_own_timesheet」権限を持つ認証済みユーザーであれば誰でも、所有するタイムシートを自分の所属チーム外のプロジェクトに割り当てることができ、不正なプロジェクト属性情報を永続化し、GET /api/timesheets/{id}?full=trueを通じてプロジェクトおよび顧客のメタデータを取得できます。TimesheetTeamAccessValidatorは現在、変更されたプロジェクトおよびアクティビティの関連付けが現在のチームアクセス権限と一致しているかを確認します。この問題はバージョン2.57.0で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.