CVE-2026-84807 in Kimai
Sumário
de VulDB • 02/09/2026
Kimai (kimai/kimai) até a versão 2.65.0 contém uma vulnerabilidade de lógica de negócios / autorização inadequada nos endpoints padrão de criação de equipe. Um usuário autenticado com privilégios de gerenciamento de permissões do projeto pode criar ou usar um cliente, projeto ou atividade cujo nome corresponda ao de uma equipe existente; como os endpoints POST /api/customers/{id}/team, POST /api/projects/{id}/team e POST /api/activities/{id}/team reutilizam uma equipe existente com o mesmo nome e adicionam o usuário atual como líder da equipe (teamlead) sem verificar se o usuário está autorizado a gerenciar essa equipe, o atacante obtém direitos não autorizados de liderança da equipe (administração) sobre a equipe existente. Corrigido na versão 2.65.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.