CVE-2026-52823

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.58.0 sürümünden önce, TimesheetController; kimliği doğrulanmış bir tarayıcı oturumunu yeniden kullanan ve istek sahteciliği koruması olmaksızın GET istekleri üzerinden durum değiştirici işlemler gerçekleştiren GET /api/timesheets/{id}/stop ve GET /api/timesheets/{id}/restart uç noktalarını açığa çıkarmaktadır. Uzaktaki bir saldırgan, giriş yapmış bir kullanıcının saldırgan tarafından kontrol edilen içerikler aracılığıyla bu rotalardan herhangi birini talep etmesine neden olarak, kullanıcının rızası olmadan çalışan bir zaman çizelgesini durdurabilir veya geçmiş bir girişi yeniden başlatarak yeni bir zaman çizelgesi oluşturup başlatabilir. Bu yetkisiz değişiklikler; zaman kayıtlarını, faturalandırmayı, raporları, onayları ve denetimleri bozabilir. Bu sorun 2.58.0 sürümünde düzeltilmiştir.