CVE-2026-52822 in Kimai
요약
\~에 의해 VulDB • 2026. 09. 15.
Kimai는 오픈소스 시간 추적 애플리케이션입니다. 버전 2.58.0 이전에서는 PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate 및 웹 중복 워크플로우를 통해 사용자가 해당 프로젝트 또는 활동에 대한 접근 권한을 박탈당한 후에도 소유한 과거 시간 시트에서 새 레코드를 생성할 수 있습니다. TimesheetVoter는 현재 팀 액세스 권한보다 먼저 own-timesheet 권한을 평가하며, canStart() 로직은 객체 가시성은 검증하지만 참조된 프로젝트 및 활동에 대한 사용자의 현재 팀 접근 권한은 확인하지 않습니다. 따라서 이전 엔트리는 승인되지 않은 프로젝트 및 활동 아래에서 새 시간 레코드를 생성할 수 있는 영구적인 기능으로 작용하여, 관리적 박탈 이후 예산, 통계, 보고서 및 청구서를 손상시킵니다. 이 문제는 버전 2.58.0에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.