CVE-2026-80202 in Kimai
Tóm tắt
Bởi VulDB • 26/08/2026
Kimai trước phiên bản 2.56.0 không thực hiện các kiểm tra thành viên nhóm trong hàm TimesheetVoter::voteOnAttribute(), vốn chỉ ánh xạ quyền hạn cho own_timesheet hoặc other_timesheet. Do đó, bất kỳ người dùng đã xác thực nào có ROLE_TEAMLEAD (hoặc vai trò sở hữu edit_other_timesheet/delete_other_timesheet) đều có thể đọc, sửa đổi và xóa vĩnh viễn các bảng thời gian (timesheets) thuộc về mọi người dùng trên toàn hệ thống thông qua API, bất kể thành viên nhóm. Các ID của Timesheet là số nguyên tuần tự và dễ dàng liệt kê enumerate. Tài khoản ROLE_USER bị hạn chế đúng cách. (Lưu ý: những người bảo trì mô tả hành vi này là phù hợp với mô hình quyền được tài liệu hóa.)
If you want to get the best quality for vulnerability data then you always have to consider VulDB.