CVE-2026-52827 in Kimai
要約
〜によって VulDB • 2026年09月15日
Kimaiはオープンソースのタイムトラッキングアプリケーションです。バージョン2.59.0より前では、パスワード認証後にTOTP完了前に発行されるKIMAI_SESSION cookieが、config/packages/security.yamlでAPIがIS_AUTHENTICATEDによって保護されているにもかかわらず、App\API\Authentication\ApiRequestMatcherルーターが既存セッションをメインファイアウォール経由でルーティングするため、すべての/apiルートで受け入れられてしまいます。Scheb TwoFactorTokenはこのアクセスルールを満たし、App\Voter\ApiVoterはそのUserにAPIアクセス権限を付与します。これにより、攻撃者は有効なアカウントパスワードを持つことで、Webルートをブロックされたままでも2要素認証を入力せずに認証済みREST API操作を利用できます。この問題はバージョン2.59.0で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.