CVE-2026-52825

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.58.0 sürümünden önce, POST /api/teams/{id}/members/{userId} ve POST /api/teams/{id}/activities/{activityId} uç noktaları, bir teamlead'in ekibi düzenleyebileceğini doğrular ancak referans verilen User için access_user veya referans verilen Activity için görüntüleme erişimini doğrulamaz. Bir teamlead, TeamEditForm ve UserRepository::getQueryBuilderForFormType() tarafından zorunlu kılınan daha dar seçenekleri atlayarak, kendi yönetilebilir kapsamı dışındaki kullanıcıları veya aktiviteleri düzenlenebilir bir ekibe ekleyebilir. Ortaya çıkan ilişkiler; RolePermissionManager::checkTeamAccessActivity() ve diğer ekip tabanlı yetkilendirme, görünürlük, raporlama ve iş akışı mantığı tarafından güvenilir kabul edilebilir. Bu sorun 2.58.0 sürümünde düzeltilmiştir.