CVE-2026-52823

Kimai açıq mənbəli vaxt izləmə tətbiqidir. 2.58.0 versiyasından əvvəl TimesheetController GET /api/timesheets/{id}/stop və GET /api/timesheets/{id}/restart marşrutlarını təqdim edir ki, bunlar autentifikasiya olunmuş brauzer sessiyasını yenidən istifadə edir və sorğu saxtakarlığına (request forgery) qarşı müdafiə olmadan GET sorğuları vasitəsilə vəziyyəti dəyişdirən əməliyyatları yerinə yetirir. Uzaqdakı hücumçu, daxil olmuş istifadəçinin hücumçu tərəfindən idarə olunan məzmun vasitəsilə bu marşrutlardan birini çağırmasına səbəb ola bilər ki, bu da istifadəçinin razılığı olmadan işləyən vaxt cədvəlini dayandıra və ya yeni vaxt cədvəli yaratmaq və başlatmaq üçün tarixi qeydi yenidən başlada bilər. İcazəsiz dəyişikliklər vaxt qeydlərini, hesablamaları, hesabatları, təsdiqləri və auditləri korlaya bilər. Bu problem 2.58.0 versiyasında düzəldilmişdir.