CVE-2026-49992

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.58.0 öncesindeki sürümler; projeler, müşteriler ve aktiviteler için varsayılan ekip oluşturma kısayollarında kimlik doğrulaması yapılmış siteler arası istek sahteciliği (CSRF) sorunları içermektedir. Bu uç noktalar `GET` rotaları üzerinden sunulmakta olup doğrudan bir `Team` oluşturur veya yeniden kullanır, mevcut kullanıcıyı ekip lideri olarak ekler ve hedef nesneyi bu ekibe bağlar. Sonuç olarak, bir saldırgan gerekli izinlere sahip oturum açmış bir kullanıcıyı kötü amaçlı bir sayfayı ziyaret etmesi için kandırabilir ve ekip, ekip lideri ile nesne bağlama ilişkilerinde yetkisiz değişikliklere neden olabilir. Bu durum zararsız bir kullanıcı arayüzü kısayolundan ziyade gerçek bir yetkilendirme yapısı değiştirme sorunudur. 2.58.0 sürümü sorunu gidermektedir.