CVE-2026-52824 in Kimai
要約
〜によって VulDB • 2026年09月15日
Kimaiはオープンソースの時間追跡アプリケーションです。バージョン2.58.0より前では、公式DockerイメージがDockerfile内でAPP_SECRETを公開値「change_this_to_something_unique」に設定しており、.docker/entrypoint.shはこの値をSymfonyによってkernel.secretとして使用される前に置換または拒否していません。APP_SECRETを上書きしていないデプロイメントに到達し、ユーザー名を知り、そのユーザー名に関連付けられたアカウントIDを正しく推測し、アクティブな二段階認証が有効になっていないアカウントを対象とする未認証攻撃者は、HMACで保護された認証アーティファクト（KIMAI_REMEMBERクッキーやログインリンクを含む）を偽造して、パスワードなしでアカウントにアクセスできます。更新されたentrypointは、安全なオペレータ提供の値が存在しない場合にランダムなシークレットを生成し永続化します。この問題はバージョン2.58.0で修正されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.