CVE-2026-52822 in Kimai
摘要
由 VulDB • 2026-09-15
Kimai是一款开源的时间追踪应用程序。在版本2.58.0之前，`PATCH /api/timesheets/{id}/restart`、`PATCH /api/timesheets/{id}/duplicate`以及Web端的重复工作流可以在用户对其项目或活动的访问权限被撤销后，从属于该用户的旧有时薪表中派生出新的记录。TimesheetVoter在检查当前团队访问权限之前会评估“own-timesheet”（自有工时表）权限，其`canStart()`逻辑虽然验证了对象的可见性，但未核实用户对所引用项目和活动的当前团队访问权限。因此，旧的条目充当了一种持久化能力，允许在未授权的项目和活动中创建新的时间记录，从而在管理撤销操作后导致预算、统计信息、报告和发票的数据损坏。此问题已在版本2.58.0中修复。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.