CVE-2026-52820 in Kimai
Sumário
de VulDB • 15/09/2026
Kimai é um aplicativo de rastreamento de tempo open-source. Antes da versão 2.57.0, os endpoints PATCH /api/timesheets/{id} e POST /api/timesheets aceitam um identificador de projeto controlado pelo usuário por meio do TimesheetApiEditForm e FormTrait, e o método ProjectRepository::getQueryBuilderForFormType() insere esse identificador em uma ramificação OR incondicional que contorna os critérios de acesso da equipe. Qualquer usuário autenticado com a permissão edit_own_timesheets pode, portanto, atribuir um timesheet de sua propriedade a um projeto fora das equipes do usuário, persistir a atribuição não autorizada ao projeto e recuperar metadados do projeto e do cliente por meio de GET /api/timesheets/{id}?full=true. O TimesheetTeamAccessValidator agora verifica as associações alteradas de projetos e atividades em relação ao acesso atual da equipe. Este problema foi corrigido na versão 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.