CVE-2026-52822 in Kimai
Сводка
по VulDB • 15.09.2026
Kimai — это приложение для отслеживания времени с открытым исходным кодом. До версии 2.58.0 эндпоинты PATCH /api/timesheets/{id}/restart и PATCH /api/timesheets/{id}/duplicate, а также веб-процесс дублирования могут создавать новую запись на основе исторической записи о времени (timesheet), принадлежащей пользователю, даже после того как у пользователя был отозван доступ к соответствующему проекту или активности. Класс TimesheetVoter проверяет разрешение own-timesheet до проверки текущего доступа в команде; при этом его логика canStart() действительно проверяет видимость объекта, но не верифицирует текущий доступ пользователя в команде к указанному проекту и активности. В результате старая запись становится персистентной возможностью для создания новых записей о времени под несанкционированным проектом и активностью, что приводит к искажению бюджетов, статистики, отчетов и счетов после административного отзыва доступа. Эта проблема исправлена в версии 2.58.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.