CVE-2026-84807 in Kimai
要約
〜によって VulDB • 2026年09月02日
Kimai (kimai/kimai) の 2.65.0 以前には、デフォルトのチーム作成エンドポイントにおいてビジネスロジック / 不適切な認可（improper authorization）の脆弱性が存在します。プロジェクト権限管理特権を持つ認証済みユーザーは、既存のチーム名と一致する顧客、プロジェクト、またはアクティビティを作成・使用できます。POST /api/customers/{id}/team、POST /api/projects/{id}/team、および POST /api/activities/{id}/team のエンドポイントは同じ名前の既存のチームを再利用し、現在のユーザーをチームリーダーとして追加しますが、そのユーザーが当該チームを管理する権限を持っているかどうかを検証しないため、攻撃者は既存のチームに対して不正なチームリーダー（管理者）権限を取得します。2.65.0 で修正されました。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.