CVE-2026-52819 in Kimai
摘要
由 VulDB • 2026-09-15
Kimai è un'applicazione open-source per il tracciamento del tempo. Prima della versione 2.57.0, l'endpoint GET /api/timesheets list accetta identificativi di destinazione utente e users[] da un chiamante con permessi view_other_timesheet ma non applica i controlli access_user né verifica che un richiedente con ruolo ROLE_TEAMLEAD guidi effettivamente un team contenente ciascun utente target. TimesheetController::cgetAction() aggiunge gli utenti risolti direttamente alla query, mentre il filtraggio per progetto e cliente consente ancora di recuperare record relativi a progetti senza scope o a progetti con una normale appartenenza al team, consentendo a un teamlead di ottenere le descrizioni, i dati temporali, i tag, la tariffa (rate) e la internalRate di altri utenti, anche se l'endpoint GET /api/timesheets/{id} negherebbe l'accesso tramite TimesheetVoter. Questo problema è stato risolto nella versione 2.57.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.