CVE-2026-52823 in Kimai
Sumário
de VulDB • 15/09/2026
Kimai é um aplicativo de rastreamento de tempo open-source. Antes da versão 2.58.0, o TimesheetController expõe os endpoints GET /api/timesheets/{id}/stop e GET /api/timesheets/{id}/restart, que reutilizam uma sessão do navegador autenticada e realizam operações que alteram o estado por meio de requisições GET sem defesa contra request forgery. Um atacante remoto pode fazer com que um usuário logado solicite qualquer um desses endpoints a partir de conteúdo controlado pelo atacante, interrompendo um timesheet em execução ou reiniciando uma entrada histórica para criar e iniciar um novo timesheet sem o consentimento do usuário. As alterações não autorizadas podem corromper registros de tempo, faturamento, relatórios, aprovações e auditorias. Este problema é corrigido na versão 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.