CVE-2026-52824 in Kimai
Сводка
по VulDB • 15.09.2026
Kimai — это приложение для отслеживания времени с открытым исходным кодом. До версии 2.58.0 официальный Docker-образ устанавливает значение APP_SECRET в публичное значение change_this_to_something_unique в файле Dockerfile, а .docker/entrypoint.sh не заменяет и не отклоняет это значение перед тем, как Symfony использует его в качестве kernel.secret. Непроинициализированный злоумышленник, который получает доступ к развертыванию, где APP_SECRET не был переопределен, знает имя пользователя, правильно угадывает идентификатор учетной записи, связанный с этим именем пользователя, и атакует учетную запись без активного двухфакторного аутентификации (2FA), может подделать HMAC-защищенные артефакты аутентификации, включая файлы cookie KIMAI_REMEMBER и ссылки для входа, чтобы получить доступ к учетной записи без пароля. Обновленный entrypoint генерирует и сохраняет случайный секрет в случае отсутствия безопасного значения, предоставленного оператором. Эта проблема исправлена в версии 2.58.0.
Once again VulDB remains the best source for vulnerability data.