CVE-2026-52822— Kimai 时间轴重启与重复功能权限控制不当
一分钟漏洞结论
影响对象
kimai kimai
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Kimai 是一款开源的时间跟踪应用程序。在 2.58.0 版本之前， 、 以及 Web 端的“重复”工作流允许用户从其拥有的历史时间记录派生新的时间记录，即使该用户访问对应项目或活动的权限已被撤销。 具体来说， 在检查“本人时间记录”权限时，未同时验证用户对相关项目和活动的当前团队访问权限；其 逻辑虽然校验了对象可见性，但未验证用户是否仍具有对引用项目和活动的团队访问权限。因此，一条旧的时间记录实际上成为一种持久的“权限凭证”，使攻击者能够在已被撤销权限的项目和活动下创建新的时间记录，从而在管理权限撤销后，污染预
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-52822 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Kimai: Improper Authorization in Kimai Timesheet Restart and Duplicate Allows New Timesheets After Project Access Revocation
来源: CVE Program / CVE List V5
Vulnerability Description
Kimai is an open-source time tracking application. Prior to 2.58.0, PATCH /api/timesheets/{id}/restart, PATCH /api/timesheets/{id}/duplicate, and the web duplicate workflow can derive a new record from an owned historical timesheet after the user's access to its project or activity has been revoked. TimesheetVoter evaluates the own-timesheet permission before current team access, and its canStart() logic validates object visibility but does not verify the user's current team access to the referenced project and activity. An old entry therefore acts as a persistent capability to create new time records under an unauthorized project and activity, corrupting budgets, statistics, reports, and invoices after an administrative revocation. This issue is fixed in version 2.58.0.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不恰当
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-52822 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-52822 的情报信息
请登录查看更多情报信息。
CVE-2026-52822 补丁与修复 (1)
CVE-2026-52822 厂商安全公告 (2)
CVE-2026-52822 厂商页面 (1)
-
🔗 Release 2.58.0 · kimai/kimai · GitHub x_refsource_MISC
同批安全公告 · kimai · 2026-09-15 · 共 10 条
| CVE-2026-52824 | 9.1 CRITICAL | Kimai Docker默认APP_SECRET致Cookie伪造 |
| CVE-2026-52827 | 7.1 HIGH | Kimai API 两因素认证绕过漏洞 |
| CVE-2026-52819 | 6.3 MEDIUM | Kimai 团队主管权限绕过漏洞 |
| CVE-2026-52825 | 5.3 MEDIUM | Kimai 团队API 不当授权漏洞 |
| CVE-2026-52820 | 5.3 MEDIUM | Kimai 查询构造器 OR 绕过导致跨团队项目分配漏洞 |
| CVE-2026-52823 | 5.3 MEDIUM | Kimai 登录CSRF漏洞导致未授权状态变更 |
| CVE-2026-52821 | 5.3 MEDIUM | Kimai 活动时间创建不当授权漏洞 |
| CVE-2026-52826 | 5.3 MEDIUM | Kimai 项目、客户及活动费率编辑端点授权不当漏洞 |
| CVE-2026-52828 | 5.3 MEDIUM | Kimai 导出模板 CRUD 越权访问漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-52822
暂无评论