PT-2026-33218 · Kimai · Kimai

Udaypali · Publicado 2026-04-15 · Atualizado 2026-04-27 · CVE-2026-40486

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Name of the Vulnerable Software and Affected Versions Kimai versões anteriores a 2.53.0

Description Um problema de Mass Assignment e Broken Object Property Level Authorization existe na API de Preferências do Usuário. O endpoint '/api/users/{id}/preferences' não verifica a flag isEnabled() em objetos de preferência ao aplicar os valores enviados. Isso permite que qualquer usuário autenticado ignore os controles de acesso baseados em funções e modifique atributos financeiros restritos, especificamente as variáveis hourly rate e internal rate, mesmo que não possuam a permissão de função hourly-rate necessária. Isso pode levar a manipulações financeiras não autorizadas que afetam faturas e cálculos de folhas de ponto.

Recommendations Atualizar para a versão 2.53.0. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/users/{id}/preferences' para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-915

Identificadores relacionados

CVE-2026-40486

GHSA-QH43-XRJM-4GGP

Produtos afetados

Kimai

Referências · 7

• https://github.com/kimai/kimai · Nota
• https://github.com/kimai/kimai/security/advisories/GHSA-qh43-xrjm-4ggp · Aviso do Fabricante
• https://github.com/kimai/kimai/releases/tag/2.53.0 · Nota
• https://t.me/cveNotify/161148 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-qh43-xrjm-4ggp · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-40486 · Nota de Segurança
• https://twitter.com/CVEnew/status/2045467370244681751 · Publicação no Twitter