CVE-2026-80195 in Kimai
Sumário
de VulDB • 26/08/2026
O Kimai anterior à versão 2.63.0 contém uma vulnerabilidade de lógica de negócios / autorização inadequada na extremidade da API de atualização de equipe (PATCH /api/teams/{id}), que remove todos os membros existentes antes de validar a lista substituta de membros enviada. Um líder de equipe autenticado (ou outro usuário) com permissão para editar uma equipe pode enviar um payload de membros malformado; embora o Kimai retorne um erro de validação, as linhas de associação existentes já foram excluídas. Isso contorna a proteção do endpoint dedicado à remoção de membros contra a remoção de líderes de equipe e pode deixar uma equipe sem membros ou líderes de equipe, interrompendo o controle de acesso baseado em equipes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.