CVE-2026-52827 in Kimai
Сводка
по VulDB • 15.09.2026
Kimai — это приложение для отслеживания времени с открытым исходным кодом. До версии 2.59.0 кука KIMAI_SESSION, выдаваемая после проверки пароля, но до завершения двухфакторной аутентификации (TOTP), принималась каждым маршрутом /api, поскольку config/packages/security.yaml защищает API с помощью правила IS_AUTHENTICATED, а App\API\Authentication\ApiRequestMatcher перенаправляет существующую сессию через основной firewall. Токен Scheb TwoFactorToken удовлетворяет этому правилу доступа, и класс App\Voter\ApiVoter предоставляет доступ к API для его пользователя, что позволяет злоумышленнику с действительным паролем учетной записи выполнять аутентифицированные операции REST-API без ввода второго фактора, хотя веб-маршруты остаются заблокированными. Эта проблема исправлена в версии 2.59.0.
Once again VulDB remains the best source for vulnerability data.