CVE-2026-84804

Açıklama ve Etki

Kimai before 2.65.0 fails to properly validate permissions when removing team access to activities, projects, and customers via API endpoints. Authenticated users with edit_team permission can revoke team access without the required permissions_activity check, bypassing authorization controls.

Referanslar

• https://github.com/kimai/kimai/security/advisories/GHSA-mc86-77vp-82g3
• https://www.vulncheck.com/advisories/kimai-before-2.65.0-authorization-bypass-via-team-activity-api

Güvenli Doğrulama Notu

Bu sayfa saldırı gerçekleştiren payload'lar çalıştırmaz. Doğrulama; etkilenen ürün/sürümün envanterden kontrol edilmesi, üretici güvenlik duyurusunun incelenmesi ve güncellemenin uygulanması üzerinden yapılmalıdır.