CVE-2026-80195
Publiée le 2026-08-26 · Dernière modification le 2026-09-03
Les installations de Kimai antérieures à la version 2.63.0 sont affectées par une faille dans l'API de mise à jour des équipes. Un utilisateur authentifié disposant des permissions de modification d'équipe peut envoyer une requête malformée qui supprime tous les membres d'une équipe, y compris le chef d'équipe, même si le système finit par rejeter la requête avec une erreur. Cela permet à un utilisateur autorisé disposant de privilèges restreints de perturber les contrôles d'accès basés sur les équipes via le réseau, sans nécessiter d'interaction supplémentaire.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Kimai before 2.63.0 contains a business logic / improper authorization vulnerability in the team update API endpoint (PATCH /api/teams/{id}), which removes all existing team members before validating the submitted replacement member list. An authenticated teamlead (or other user) with permission to edit a team can submit a malformed members payload; although Kimai returns a validation error, the existing membership rows have already been deleted. This bypasses the dedicated member-removal endpoint's protection against removing teamleaders and can leave a team with no members or teamleaders, disrupting team-based access control.