CVE-2026-80195 in Kimai
要約
〜によって VulDB • 2026年08月26日
Kimai 2.63.0 より前のバージョンには、チーム更新 API エンドポイント (PATCH /api/teams/{id}) にビジネスロジックの脆弱性 / 不適切な認可の問題が含まれています。この脆弱性は、送信された置換メンバーリストを検証する前に既存の全チームメンバーを削除します。チームの編集権限を持つ認証済みチームリーダー（またはその他のユーザー）は、不正な members ペイロードを送信できます。Kimai は検証エラーを返しますが、既存のメンバシップ行はすでに削除されています。これにより、チームリーダーの削除に対する保護を提供する専用の member-removal エンドポイントが回避され、結果としてチームにメンバーやチームリーダーがいなくなり、チームベースのアクセス制御が妨害されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.