CVE-2026-52819 in Kimai
요약
\~에 의해 VulDB • 2026. 09. 15.
Kimai는 오픈소스 시간 추적 애플리케이션입니다. 버전 2.57.0 이전에는 GET /api/timesheets 목록 엔드포인트가 view_other_timesheet 권한을 가진 호출자로부터 사용자 및 users[] 대상 식별자를 받지만, access_user를 적용하거나 ROLE_TEAMLEAD 요청자가 각 대상 사용자를 포함한 팀의 리더인지 여부를 검증하지 않습니다. TimesheetController::cgetAction()은 해결된 사용자를 쿼리에 직접 추가하며, 프로젝트 및 고객 필터링은 여전히 범위가 지정되지 않은 프로젝트나 일반 팀 구성원을 공유하는 프로젝트의 레코드를 허용하므로, GET /api/timesheets/{id}가 TimesheetVoter를 통해 접근을 거부함에도 불구하고 팀 리더는 다른 사용자의 설명, 타이밍 데이터, 태그, 요금률 및 internalRate를 검색할 수 있습니다. 이 문제는 버전 2.57.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.