CVE-2026-49992

Kimai açıq mənbəli vaxt izləmə tətbiqidir. 2.58.0 versiyasından əvvəlki versiyalarda layihələr, müştərilər və fəaliyyətlər üçün standart komanda yaratma qısayollarında autentifikasiya olunmuş saytlararası sorğu saxtakarlığı (CSRF) problemləri mövcuddur. Bu son nöqtələr `GET` marşrutları vasitəsilə təmin edilir və birbaşa `Team` yaradır və ya yenidən istifadə edir, cari istifadəçini komanda rəhbəri (teamlead) kimi əlavə edir və hədəf obyekti həmin komandaya bağlayır. Nəticədə, hücumçu lazımi icazələri olan daxil olmuş istifadəçini zərərli səhifəyə keçməyə vadar edərək komanda, komanda rəhbəri və obyekt-bağlantı münasibətlərində icazəsiz dəyişikliklərə səbəb ola bilər. Bu, zərərsiz UI qısayolu deyil, real avtorizasiya strukturunun modifikasiyası problemidir. 2.58.0 versiyası bu problemi aradan qaldırır.