Kimai 2.56.0 contém uma vulnerabilidade IDOR / autorização inadequada autenticada na folha de tempo favorita adicionar e remover os endpoints. Um usuário de baixas privilégios que conheça o `timesheet.id` de outro usuário pode adicionar esse registro ou removê- lo da lista de favoritos/recentes da vítima. Isto permite manipulação cruzada de estado favorito por usuário sem privilégios administrativos. O problema afeta as seguintes rotas. - `GET / em/ favorite/ timesheet/ add/ {id}` - `GET / em/ favorite/ timesheet/ remove/ {id}` Ambos os endpoints aceitam um identificador de folha de tempo controlado pelo usuário e só exigem que o chamador mantenha a permissão genérica `start_own_timesheet`. Eles não verificam que o objeto referenciado `Horário` pertence ao usuário atualmente autenticado.

- No `src/Controller/FavoriteController.php`, os métodos do controlador aceitam um objeto `Timesheet` diretamente e o encaminham para o serviço favorito. - A causa raiz torna- se mais óbvia no `src/Timesheet/FavoriteRecordService.php`. O dono do marcador é derivado de `$timesheet->getUser()` em vez do usuário atual da sessão. - Por causa deste design, qualquer usuário autenticado que possa fazer referência ao ID da folha de tempo de outro usuário pode modificar os dados do marcador `favorecido/recente` da vítima. *Um PoC foi fornecido, mas removido por razões de segurança.*. Esta vulnerabilidade permite que qualquer usuário de baixas privilégios autêntico manipule o estado favorito do marcador de favoritos de outro usuário em todas as contas. Um atacante pode injetar entradas arbitrárias da folha de tempo da vítima no fluxo de trabalho de entrada rápida da vítima, remover os favoritos existentes e perturbar repetidamente o uso normal da folha de tempo da vítima sem precisar de privilégios administrativos.

O problema não revela diretamente dados sensíveis, mas é uma verdadeira vulnerabilidade de manipulação de estado de negócios de usuários cruzados com um claro impacto de integridade. Como os endpoints adicionar e remover podem ser combinados, um atacante pode inserir, remover e reordenar de forma confiável entradas na lista de favoritos/recentes de outro usuário. Registro de aconselhamento: GHSA- j 5 mc- p 8 qg-. 39 j 7. Não há nenhum identificador adicional listado.

Tempo: GitHub Advisory Database publicou este registro em 2026 - 07 - 02 T 20: 44: 05.000 Z e lista a sua última modificação como 2026 - 07 - 02 T 20: 44: 05.000 Z. Severidade: LOW. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/África do Sul:N/E:U.

Software afetado e informações de versão: pacote de pacotes de pacotes kimai/kimai — ECOSYSTEM: introduzido 0, corrigido 2.57.0. Classificação e evidência: identificadores de fraqueza CWE- 639, CWE- 862. O registro contém 3 suporte de referências nestes tipos: WEB, PACKAGE.