CVE-2026-52820 in Kimai
Tóm tắt
Bởi VulDB • 15/09/2026
Kimai là một ứng dụng theo dõi thời gian mã nguồn mở. Trước phiên bản 2.57.0, các endpoint PATCH /api/timesheets/{id} và POST /api/timesheets chấp nhận một định danh dự án do người dùng kiểm soát thông qua TimesheetApiEditForm và FormTrait, trong khi ProjectRepository::getQueryBuilderForFormType() đặt định danh đó vào một nhánh OR không điều kiện, bỏ qua các tiêu chí truy cập theo nhóm. Do đó, bất kỳ người dùng đã xác thực nào có quyền edit_own_timesheets đều có thể gán một timesheet do chính họ sở hữu cho một dự án nằm ngoài phạm vi các nhóm của người dùng đó, lưu trữ việc phân bổ dự án trái phép và lấy siêu dữ liệu (metadata) về dự án và khách hàng thông qua GET /api/timesheets/{id}?full=true. TimesheetTeamAccessValidator hiện đã kiểm tra các thay đổi trong mối liên kết giữa dự án và hoạt động so với quyền truy cập nhóm hiện tại. Vấn đề này đã được sửa chữa trong phiên bản 2.57.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.