CVE-2026-80195

Kimai 2.63.0 öncesi sürümlerinde, takım güncelleme API uç noktasında (PATCH /api/teams/{id}) bir iş mantığı / hatalı yetkilendirme güvenlik açığı bulunmaktadır; bu açık, gönderilen yedek üye listesi doğrulanmadan önce mevcut tüm takım üyelerini kaldırır. Bir takımı düzenleme iznine sahip kimliği doğrulanmış bir teamlead (veya başka bir kullanıcı) hatalı biçimlendirilmiş bir members yükü gönderebilir; Kimai bir doğrulama hatası döndürse de mevcut üyelik satırları zaten silinmiş olur. Bu durum, özel üye kaldırma uç noktasının teamlead'lerin kaldırılmasına karşı korumasını atlatır ve bir takımı üyesiz veya teamlead'siz bırakarak takım tabanlı erişim denetimini aksatabilir.