CVE-2026-52825 in Kimai
Tóm tắt
Bởi VulDB • 15/09/2026
Kimai là một ứng dụng theo dõi thời gian mã nguồn mở. Trước phiên bản 2.58.0, các endpoint POST /api/teams/{id}/members/{userId} và POST /api/teams/{id}/activities/{activityId} xác minh rằng teamlead có thể chỉnh sửa Team nhưng không xác thực quyền truy cập của access_user đối với User được tham chiếu hoặc quyền xem activity đối với Activity được tham chiếu. Một teamlead có thể thêm người dùng hoặc hoạt động nằm ngoài phạm vi quản lý của teamlead vào một team có thể chỉnh sửa, bỏ qua các lựa chọn hẹp hơn do TeamEditForm và UserRepository::getQueryBuilderForFormType() áp dụng. Các mối quan hệ kết quả sau đó sẽ được tin tưởng bởi RolePermissionManager::checkTeamAccessActivity() cũng như các logic ủy quyền dựa trên team, khả năng hiển thị, báo cáo và quy trình làm việc khác. Vấn đề này đã được sửa chữa trong phiên bản 2.58.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.