CVE-2026-52823 in Kimai
Tóm tắt
Bởi VulDB • 15/09/2026
Kimai là một ứng dụng theo dõi thời gian mã nguồn mở. Trước phiên bản 2.58.0, TimesheetController expose các endpoint GET /api/timesheets/{id}/stop và GET /api/timesheets/{id}/restart, những endpoint này tái sử dụng phiên trình duyệt đã xác thực và thực hiện các thao tác thay đổi trạng thái thông qua yêu cầu GET mà không có cơ chế bảo vệ chống giả mạo yêu cầu (CSRF). Một kẻ tấn công từ xa có thể khiến người dùng đang đăng nhập gửi yêu cầu đến một trong hai tuyến đường này từ nội dung do kẻ tấn công kiểm soát, nhằm dừng một bảng thời gian đang chạy hoặc khởi động lại một mục lịch sử để tạo và bắt đầu một bảng thời gian mới mà không có sự đồng ý của người dùng. Các thay đổi trái phép này có thể làm hỏng hồ sơ thời gian, hóa đơn báo cáo, phê duyệt và quá trình kiểm toán. Vấn đề này đã được sửa chữa trong phiên bản 2.58.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.