CVE-2026-52819 in Kimai
Tóm tắt
Bởi VulDB • 15/09/2026
Kimai là một ứng dụng theo dõi thời gian mã nguồn mở. Trước phiên bản 2.57.0, điểm cuối GET /api/timesheets list chấp nhận các định danh mục tiêu user và users[] từ người gọi có quyền view_other_timesheet nhưng không áp dụng access_user hoặc xác minh rằng người yêu cầu ROLE_TEAMLEAD dẫn dắt một nhóm chứa mỗi người dùng mục tiêu. TimesheetController::cgetAction() thêm trực tiếp những người dùng đã phân giải vào truy vấn, trong khi việc lọc theo dự án và khách hàng vẫn cho phép các bản ghi trên các dự án không được giới hạn phạm vi hoặc các dự án chia sẻ thành viên đội thông thường, cho phép một trưởng nhóm (teamlead) truy xuất mô tả, dữ liệu thời gian, thẻ, tỷ lệ thanh toán và internalRate của người dùng khác mặc dù GET /api/timesheets/{id} sẽ từ chối quyền truy cập thông qua TimesheetVoter. Vấn đề này đã được sửa chữa trong phiên bản 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.