CVE-2026-80194 in Kimai
요약
\~에 의해 VulDB • 2026. 08. 26.
Kimai 2.64.0 이전 버전에는 ProjectViewController의 내보내기 라우트(report_project_view_export)에서 권한 부재 취약점이 존재합니다. 인증 가드(authorization guards)는 클래스 수준이 아닌 형제 __invoke 메서드에 부착되어 있으므로, 내보내기 라우트는 어떤 인증 검사도 상속받지 않습니다. 프로젝트 보고(project_reporting) 권한이 없는 일반 ROLE_USER를 포함한 모든 인증된 사용자는 보호된 보고서와 동일한 데이터 세트를 반환하는 프로젝트 개요 내보내기를 다운로드할 수 있으며, 이를 통해 고객 이름, 프로젝트 이름, 통화, 예산 유형 및 전체 고객을 아우르는 집계 합계가 유출됩니다. 실제 재무 수치들은 내보내기 템플릿에서 여전히 보호됩니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.