CVE-2026-52820

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.57.0 sürümünden önce, PATCH /api/timesheets/{id} ve POST /api/timesheets uç noktaları, TimesheetApiEditForm ve FormTrait aracılığıyla kullanıcı kontrollü bir proje tanımlayıcısı kabul etmekte ve ProjectRepository::getQueryBuilderForFormType() bu tanımlayıcıyı ekip erişim kriterlerini atlayan koşulsuz bir OR dalına yerleştirmektedir. Bu nedenle, edit_own_timesheet yetkisine sahip herhangi bir kimliği doğrulanmış kullanıcı, sahibi olduğu bir zaman çizelgesini kendi ekiplerinin dışındaki bir projeye atayabilir, yetkisiz proje ilişkilendirmesini kalıcı hale getirebilir ve GET /api/timesheets/{id}?full=true üzerinden proje ve müşteri meta verilerini alabilir. TimesheetTeamAccessValidator artık değiştirilen proje ve aktivite ilişkilerini mevcut ekip erişimine göre kontrol etmektedir. Bu sorun 2.57.0 sürümünde düzeltilmiştir.