CVE-2026-52821

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.57.0 sürümünden önce, /en/admin/activity/create/{project} ve /en/admin/project/create/{customer} adreslerine yapılan GET veya POST istekleri yalnızca genel create_activity veya create_project yetkisini gerektirmekte ve sağlanan Project veya Customer nesnesi için düzenleme erişimini doğrulamamaktadır. Geçerli bir project.id veya müşteri tanımlayıcısını bilen bir kullanıcı, src/Controller/ActivityController.php veya src/Controller/ProjectController.php dosyalarındaki ön ayarlı ebeveyn oluşturma mantığını kullanarak, yetkisiz bir ebeveyn altında yeni bir alt iş nesnesi kaydedebilir; bu durum proje veya müşteri yapılandırmasını kirleterek daha sonraki zaman girişi, oran, raporlama ve faturalandırma davranışlarını etkileyebilir. Bu sorun 2.57.0 sürümünde düzeltilmiştir.