CVE-2026-84805
Təsvir
Kimai-nin 2.61.0 versiyasından 2.63.0 versiyasına qədər olan versiyalarında PATCH /api/users/{id}/preferences son nöqtəsində (endpoint) aşağı imtiyazlı istifadəçilər üçün yalnız administratorlara məxsus iş müqaviləsi (work-contract) tərcihlərinin deaktiv edilməsi təmin olunmayıb. Veb interfeys bu əmək müqaviləsi sahələrini contract_other_profile admin icazası ilə məhdudlaşdırsa da, WorkContractPreferenceSubscriber (2.61.0 versiyasında təqdim edilmişdir) tərcihləri icazə yoxlaması olmadan aktiv kimi qeydiyyata alır, buna görə də autentifikasiya olunmuş adi istifadəçi API vasitəsilə özünün yalnız administratorlara məxsus iş müqaviləsi məlumatlarını dəyişdirə bilər. Problem, eyni icazə yoxlamasının API son nöqtəsinə tətbiq edilməsi ilə 2.63.0 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- kimai kimai2.63.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kimai kimai | 2.61.0 ≤ v < 2.63.0 | 2.63.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.