CVE-2026-84807

Kimai (kimai/kimai) 2.65.0 sürümüne kadar olan versiyonları, varsayılan ekip oluşturma uç noktalarında bir iş mantığı / hatalı yetkilendirme zafiyeti içermektedir. Proje izin yönetimi ayrıcalıklarına sahip kimliği doğrulanmış bir kullanıcı, adı mevcut bir ekiple eşleşen bir müşteri, proje veya etkinlik oluşturabilir veya kullanabilir; POST /api/customers/{id}/team, POST /api/projects/{id}/team ve POST /api/activities/{id}/team uç noktaları aynı isimdeki mevcut bir ekibi yeniden kullandığından ve kullanıcının bu ekibi yönetmeye yetkili olduğunu doğrulamadan mevcut kullanıcıyı ekip lideri olarak eklediğinden, saldırgan mevcut ekip üzerinde yetkisiz ekip lideri (yönetim) hakları elde eder. 2.65.0 sürümünde düzeltildi.