CVE-2026-80202
Təsvir
Kimai 2.56.0 versiyasından əvvəlki versiyalarda TimesheetVoter::voteOnAttribute() funksiyasında komanda üzvlüyü yoxlamaları tətbiq edilmir və icazələr yalnız own_timesheet və ya other_timesheet ilə əlaqələndirilir. Nəticədə, ROLE_TEAMLEAD roluna (və ya edit_other_timesheet/delete_other_timesheet icazələrinə) malik hər hansı autentifikasiya olunmuş istifadəçi, komanda üzvlüyündən asılı olmayaraq, API vasitəsilə sistemdəki istənilən istifadəçiyə məxsus vaxt cədvəllərini oxuya, dəyişdirə və qalıcı olaraq silə bilər. Timesheet ID-ləri ardıcıl tam ədədlərdir və asanlıqla sadalanır. ROLE_USER hesabları düzgün şəkildə məhdudlaşdırılıb. (Qeyd: developerlər bu davranışı sənədləşdirilmiş icazə modeli ilə uyğun xarakterizə edirlər.)
Necə düzəltmək olar
- kimai/kimai2.56.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kimai/kimaiPackagist | v < 2.56.0 | 2.56.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.