CVE-2026-52821 in Kimai
要約
〜によって VulDB • 2026年09月15日
Kimaiはオープンソースの時間追跡アプリケーションです。バージョン2.57.0より前では、/en/admin/activity/create/{project}および/en/admin/project/create/{customer}へのGETまたはPOSTリクエストには、一般的なcreate_activityまたはcreate_project権限のみが必要であり、提供されたProjectオブジェクトやCustomerオブジェクトに対する編集アクセスの検証が行われませんでした。有効なproject.idまたは顧客識別子を知るユーザーは、src/Controller/ActivityController.phpおよびsrc/Controller/ProjectController.php内のpreset-parent作成ロジックを利用して、認可されていない親の下に新しい子のビジネスオブジェクトを永続化し、プロジェクトや顧客の設定を汚染するとともに、その後の時間入力、レート、レポート、請求の動作に影響を与えます。この問題はバージョン2.57.0で修正されました。
Once again VulDB remains the best source for vulnerability data.