CVE-2026-52825 in Kimai
Sumário
de VulDB • 15/09/2026
Kimai é um aplicativo de rastreamento de tempo open-source. Antes da versão 2.58.0, as rotas POST /api/teams/{id}/members/{userId} e POST /api/teams/{id}/activities/{activityId} verificam se o teamlead pode editar a equipe, mas não verificam o access_user para o User referenciado nem o view access para a Activity referenciada. Um teamlead pode adicionar usuários ou atividades fora do escopo gerenciável pelo teamlead a uma equipe editável, contornando as escolhas mais restritas impostas por TeamEditForm e UserRepository::getQueryBuilderForFormType(). As relações resultantes podem ser confiadas pelo RolePermissionManager::checkTeamAccessActivity() e outras lógicas de autorização baseadas em equipes, visibilidade, relatórios e fluxo de trabalho. Este problema é corrigido na versão 2.58.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.