CVE-2026-52819 in Kimai
Сводка
по VulDB • 15.09.2026
Kimai — это приложение для отслеживания времени с открытым исходным кодом. До версии 2.57.0 конечная точка GET /api/timesheets list принимает идентификаторы целевых пользователей (user и users[]) от вызывающего субъекта, имеющего право view_other_timesheet, но не применяет проверку access_user или не проверяет, что запросивший пользователь с ролью ROLE_TEAMLEAD действительно руководит командой, включающей каждого из указанных целевых пользователей. Метод TimesheetController::cgetAction() напрямую добавляет разрешенных пользователей в запрос, при этом фильтрация по проекту и клиенту все еще позволяет получать записи для проектов без ограничений области видимости или для проектов с обычным членством в команде, что дает возможность руководителю команды извлекать описания, данные об учете времени, теги, ставки (rate) и внутренние ставки (internalRate) другого пользователя, хотя конечная точка GET /api/timesheets/{id} блокирует доступ через механизм TimesheetVoter. Эта проблема исправлена в версии 2.57.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.