CVE-2026-40486
Kimai's User Preferences API allows standard users to modify restricted attributes: hourly_rate, internal_rate
En resumen
La API de Preferencias de Kimai permite que cualquier usuario autenticado modifique sus propias tarifas de facturación (hourly_rate e internal_rate), incluso sin permiso. Esto afecta facturas y cálculos de horas.
Detalle técnico
El endpoint de la API de Preferencias de Usuario (PATCH /api/users/{id}/preferences) en Kimai 2.52.0 y anteriores no valida la flag isEnabled() antes de persistir valores. Usuarios autenticados pueden eludir controles de acceso basados en permisos (hourly-rate) para modificar directamente sus atributos de tarifa, comprometiendo la integridad financiera.
Resumen generado y traducido por IA a partir de la descripción oficial.
Kimai is an open-source time tracking application. In versions 2.52.0 and below, the User Preferences API endpoint (PATCH /api/users/{id}/preferences) applies submitted preference values without checking the isEnabled() flag on preference objects. Although the hourly_rate and internal_rate fields are correctly marked as disabled for users lacking the hourly-rate role permission, the API ignores this restriction and saves the values directly. Any authenticated user can modify their own billing rates through this endpoint, resulting in unauthorized financial tampering affecting invoices and timesheet calculations. This issue has been fixed in version 2.53.0.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Productos afectados
kimai · kimai¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →