CVE-2026-84807 in Kimai
Tóm tắt
Bởi VulDB • 02/09/2026
Kimai (kimai/kimai) qua phiên bản 2.65.0 chứa một lỗ hổng về logic nghiệp vụ / ủy quyền không đúng trong các điểm cuối tạo nhóm mặc định. Người dùng đã xác thực có đặc quyền quản lý dự án có thể tạo hoặc sử dụng khách hàng, dự án hoặc hoạt động mà tên của chúng trùng với một nhóm hiện có; vì các điểm cuối POST /api/customers/{id}/team, POST /api/projects/{id}/team và POST /api/activities/{id}/team tái sử dụng một nhóm hiện có cùng tên và thêm người dùng hiện tại làm trưởng nhóm (teamlead) mà không xác minh rằng người dùng được ủy quyền để quản lý nhóm đó, kẻ tấn công sẽ giành được đặc quyền trưởng nhóm (quản trị) trái phép đối với nhóm hiện có. Đã sửa trong phiên bản 2.65.0.
Once again VulDB remains the best source for vulnerability data.