CVE-2026-52827
Təsvir
Kimai açıq mənbəli vaxt izləmə tətbiqidir. Versiya 2.59.0-dan əvvəl, şifrə yoxlamasından sonra, lakin TOTP tamamlanmamışdan əvvəl verilən KIMAI_SESSION kukisi bütün /api marşrutları tərəfindən qəbul edilir, çünki config/packages/security.yaml faylı API-ni IS_AUTHENTICATED ilə qoruyur və App\API\Authentication\ApiRequestMatcher mövcud sessiyanı əsas firewall vasitəsilə yönləndirir. Scheb TwoFactorToken həmin giriş qaydasına cavab verir və App\Voter\ApiVoter onun İstifadəçisinə API girişinə icazə verir; bu isə etibarlı hesab şifrəsinə malik hücumçunun veb marşrutlar bloklu qaldığı halda belə, ikinci faktoru daxil etmədən autentifikasiya olunmuş REST API əməliyyatlarından istifadə etməsinə şərait yaradır. Bu problem 2.59.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- kimai/kimai2.59.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kimai/kimaiPackagist | v < 2.59.0 | 2.59.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.