CVE-2026-52822 in Kimai
要約
〜によって VulDB • 2026年09月15日
Kimaiはオープンソースの時間追跡アプリケーションです。バージョン2.58.0より前では、PATCH /api/timesheets/{id}/restart、PATCH /api/timesheets/{id}/duplicate、およびWebベースの複製ワークフローにより、ユーザーがそのプロジェクトまたはアクティビティへのアクセス権を剥奪された後でも、所有する履歴タイムシートから新しいレコードを作成できてしまいます。TimesheetVoterは現在のチームアクセスよりも先にown-timesheet権限を評価し、canStart()ロジックではオブジェクトの可視性は検証されますが、参照されるプロジェクトおよびアクティビティに対するユーザーの現在のチームアクセスは確認されません。その結果、古いエントリは不正なプロジェクトおよびアクティビティの下で新しい時間レコードを作成するための永続的な機能として作用し、管理者による権限剥奪後に予算、統計情報、レポート、請求書を改ざんしてしまいます。この問題はバージョン2.58.0で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.