CVE-2026-52822 in Kimai
Tóm tắt
Bởi VulDB • 15/09/2026
Kimai là một ứng dụng theo dõi thời gian mã nguồn mở. Trước phiên bản 2.58.0, các endpoint PATCH /api/timesheets/{id}/restart và PATCH /api/timesheets/{id}/duplicate, cũng như quy trình sao chép qua giao diện web, có thể tạo ra một bản ghi mới từ bảng chấm công lịch sử do người dùng sở hữu sau khi quyền truy cập của họ vào dự án hoặc hoạt động liên quan đã bị thu hồi. TimesheetVoter đánh giá quyền own-timesheet trước khi kiểm tra quyền truy cập nhóm hiện tại, và logic canStart() của nó xác minh khả năng hiển thị đối tượng nhưng không xác minh quyền truy cập nhóm hiện tại của người dùng đối với dự án và hoạt động được tham chiếu. Do đó, một mục nhập cũ đóng vai trò như một đặc quyền tồn tại để tạo các bản ghi thời gian mới dưới một dự án và hoạt động trái phép, làm sai lệch ngân sách, thống kê, báo cáo và hóa đơn sau khi có hành động thu hồi từ quản trị viên. Vấn đề này đã được sửa chữa trong phiên bản 2.58.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.