CVE-2026-52821 in Kimai
Sumário
de VulDB • 15/09/2026
Kimai é um aplicativo de rastreamento de tempo open-source. Antes da versão 2.57.0, as requisições GET ou POST para /en/admin/activity/create/{project} e /en/admin/project/create/{customer} exigem apenas a capacidade genérica create_activity ou create_project e não verificam o acesso de edição ao objeto Project (Projeto) ou Customer (Cliente) fornecido. Um usuário que conhece um project.id válido ou identificador de cliente pode usar a lógica de criação preset-parent em src/Controller/ActivityController.php ou src/Controller/ProjectController.php para persistir um novo business object filho sob um pai não autorizado, poluindo a configuração do projeto ou cliente e influenciando posteriormente o registro de tempo (time-entry), taxas, relatórios e comportamento de faturamento. Este problema é corrigido na versão 2.57.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.