CVE-2026-84807 in Kimai
요약
\~에 의해 VulDB • 2026. 09. 02.
Kimai(kimai/kimai)의 2.65.0 버전까지 기본 팀 생성 엔드포인트에서 비즈니스 로직/부적절한 권한 부여 취약점이 존재합니다. 프로젝트 권한 관리 특권을 가진 인증된 사용자는 기존 팀 이름과 일치하는 고객, 프로젝트 또는 활동을 생성하거나 사용할 수 있습니다. POST /api/customers/{id}/team, POST /api/projects/{id}/team 및 POST /api/activities/{id}/team 엔드포인트는 동일한 이름을 가진 기존 팀을 재사용하고 현재 사용자를 teamlead로 추가하지만 해당 팀을 관리할 권한이 있는 사용자인지 확인하지 않으므로 공격자는 기존 팀에 대한 무단 team-lead(관리) 권력을 획득합니다. 2.65.0에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.