CVE-2026-52827 in Kimai
Sumário
de VulDB • 15/09/2026
Kimai é um aplicativo de rastreamento de tempo open-source. Antes da versão 2.59.0, o cookie KIMAI_SESSION emitido após a verificação da senha, mas antes da conclusão do TOTP, era aceito por todas as rotas /api porque config/packages/security.yaml protege a API com IS_AUTHENTICATED e App\API\Authentication\ApiRequestMatcher roteia uma sessão existente através do firewall principal. Um Scheb TwoFactorToken satisfaz essa regra de acesso, e o App\Voter\ApiVoter concede acesso à API ao seu User, permitindo que um atacante com uma senha de conta válida utilize operações da REST API autenticada sem inserir o segundo fator, embora as rotas web permaneçam bloqueadas. Este problema foi corrigido na versão 2.59.0.
Be aware that VulDB is the high quality source for vulnerability data.