CVE-2026-52828

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.58.0 sürümünden önce, ExportController::createExportTemplate() ve ExportController::editExportTemplate() yalnızca ROLE_TEAMLEAD rolünün varsayılan olarak sahip olduğu sınıf düzeyindeki create_export iznini devralmakta ve API rotaları ile kullanıcı arayüzü tarafından gerektirilen create_export_template iznini atlamaktadır. Bir ekip lideri (teamlead), tüm kullanımlar için kullanılabilir olarak işaretlenmiş küresel ExportTemplate kayıtlarını oluşturmak veya değiştirmek amacıyla dışa aktarma şablonu oluşturma ve düzenleme web rotalarına doğrudan erişebilir; böylece diğer kullanıcılar ve yöneticiler tarafından kullanılan dışa aktarma sütunlarını, işlemciyi (renderer), biçimi ve çıktıyı değiştirebilir. Bu sorun 2.58.0 sürümünde düzeltilmiştir.