CVE-2026-28685
Orta
Açıklama
Kimai, web tabanlı çok kullanıcılı bir zaman takip uygulamasıdır. Versiyon 2.51.0 öncesinde, "GET /api/invoices/{id}" yalnızca rol tabanlı view_invoice iznini kontrol etmekte ancak isteği yapan kullanıcının faturanın müşterisine erişimi olup olmadığını doğrulamamaktadır. ROLE_TEAMLEAD yetkisine sahip herhangi bir kullanıcı (view_invoice izni veren), diğer ekiplere atanmış müşterilere ait olanlar da dahil olmak üzere sistemdeki tüm faturaları okuyabilir. Bu sorun versiyon 2.51.0 ile düzeltilmiştir.
ÖnemOrta
CVSS6.5
İstismar olasılığı39. yüzdelik%0,5
ÜrünKimai
Yayın6 Mar 2026
İlk görülme6 Mar 2026
Zayıflık türüCWE-285CWE-285
Nasıl düzeltilir
Güncelleyin
- kimai kimai2.51.0 ya da sonraki bir sürüm
- kimai/kimai2.51.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kimai kimai | v < 2.51.0 | 2.51.0 |
| kimai/kimaiPackagist | v < 2.51.0 | 2.51.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.