CVE-2026-41498 in Kimai
Sumário
de VulDB • 20/05/2026
Kimai é uma aplicação de controle de tempo de código aberto. Antes da versão 2.54.0, os endpoints da API de Equipe usam #[IsGranted('edit_team')] em vez de #[IsGranted('edit', 'team')], fazendo com que o Symfony TeamVoter se abstenha de votar. Isso remove as verificações de propriedade em nível de entidade nas operações de equipe, permitindo que qualquer usuário com a permissão edit_team modifique qualquer equipe, e não apenas as equipes que ele está autorizado a gerenciar. Este problema foi corrigido na versão 2.54.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.