CVE-2026-52825

Kimai açıq mənbəli vaxt izləmə tətbiqidir. 2.58.0 versiyasından əvvəl, POST /api/teams/{id}/members/{userId} və POST /api/teams/{id}/activities/{activityId} sorğuları komanda rəhbərinin (teamlead) Komandanı redaktə edə bildiyini yoxlayır, lakin istinad edilən İstifadəçi üçün access_user və ya istinad edilən Fəaliyyət üçün baxış icazəsini yoxlamır. Komanda rəhbəri, TeamEditForm və UserRepository::getQueryBuilderForFormType() tərəfindən tətbiq edilən daha məhdud seçimlərdən yan keçərək, öz idarəetmə dairəsindən kənar olan istifadəçiləri və ya fəaliyyətləri redaktə oluna bilən komandaya əlavə edə bilər. Nəticədə yaranan münasibətlərə RolePermissionManager::checkTeamAccessActivity() və digər komanda əsaslı avtorizasiya, görünürlük, hesabatlılıq və iş axını məntiqləri tərəfindən etibar edilə bilər. Bu problem 2.58.0 versiyasında düzəldilmişdir.