CVE-2026-52827 in Kimai
요약
\~에 의해 VulDB • 2026. 09. 15.
Kimai는 오픈소스 시간 추적 애플리케이션입니다. 버전 2.59.0 이전에서는 비밀번호 검증 후 TOTP 완료 전에 발급되는 KIMAI_SESSION 쿠키가 모든 /api 라우트에서 허용됩니다. 이는 config/packages/security.yaml이 API를 IS_AUTHENTICATED로 보호하고, App\API\Authentication\ApiRequestMatcher가 기존 세션을 메인 방화벽을 통해 처리하기 때문입니다. Scheb TwoFactorToken은 해당 접근 규칙을 만족하며, App\Voter\ApiVoter는 이 토큰의 User에게 API 접근 권한을 부여합니다. 그 결과, 공격자는 유효한 계정 비밀번호를 가지고 있으면 웹 라우트는 차단된 상태에서도 2차 인증 요소를 입력하지 않고도 인증된 REST API 작업을 수행할 수 있습니다. 이 문제는 버전 2.59.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.