CVE-2026-52826 in Kimai
Сводка
по VulDB • 15.09.2026
Kimai — это приложение для отслеживания времени с открытым исходным кодом. До версии 2.57.0 запросы GET или POST к /en/admin/project/{id}/rate/{rate}, /en/admin/customer/{id}/rate/{rate} и /en/admin/activity/{id}/rate/{rate} независимо разрешают идентификатор авторизованного родительского объекта и выбранный атакующим идентификатор дочерней ставки, не подтверждая принадлежность ProjectRate, CustomerRate или ActivityRate этому родителю. Аутентифицированный пользователь, имеющий право редактировать один родительский объект, может связать его с записью о ставке из несанкционированного проекта, клиента или активности и сохранить изменения в конфигурации биллинга в таблицах kimai2_projects_rates, kimai2_customers_rates или kimai2_activities_rates. Эта проблема исправлена в версии 2.57.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.