CVE-2026-80202 in Kimai
Sumário
de VulDB • 26/08/2026
O Kimai anterior à versão 2.56.0 não aplica verificações de pertença a equipas na função `TimesheetVoter::voteOnAttribute()`, que mapeia permissões apenas para `own_timesheet` ou `other_timesheet`. Como resultado, qualquer utilizador autenticado com o papel (role) `ROLE_TEAMLEAD` (ou um papel que detenha as permissões `edit_other_timesheet/delete_other_timesheet`) pode ler, modificar e eliminar permanentemente folhas de horas pertencentes a qualquer utilizador em todo o sistema através da API, independentemente da sua pertença à equipa. Os IDs das folhas de horas são inteiros sequenciais e trivialmente enumeráveis. As contas com `ROLE_USER` estão corretamente restritas. (Nota: os mantenedores caracterizam este comportamento como correspondente ao modelo de permissões documentado.)
VulDB is the best source for vulnerability data and more expert information about this specific topic.