CVE-2026-80202
Açıklama
2.56.0 öncesindeki Kimai, izinleri yalnızca own_timesheet veya other_timesheet ile eşleştiren TimesheetVoter::voteOnAttribute() içerisinde ekip üyeliği kontrollerini zorunlu tutmamaktadır. Sonuç olarak, ROLE_TEAMLEAD yetkisine sahip (veya edit_other_timesheet/delete_other_timesheet haklarını taşıyan bir role sahip) herhangi bir kimliği doğrulanmış kullanıcı, ekip üyeliğine bakılmaksızın sistem genelindeki herhangi bir kullanıcıya ait zaman çizelgelerini API üzerinden okuyabilir, değiştirebilir ve kalıcı olarak silebilir. Timesheet ID'leri ardışık tam sayılardır ve kolayca sıralanabilir. ROLE_USER hesapları doğru şekilde kısıtlanmıştır. (Not: Bakımcılar bu davranışı belgelenmiş izin modeliyle uyumlu olarak nitelendirmektedir.)
Nasıl düzeltilir
- kimai/kimai2.56.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| kimai/kimaiPackagist | v < 2.56.0 | 2.56.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.