CVE-2026-80195

Nome do Software Vulnerável e Versões Afetadas Kimai versões anteriores a 2.63.0

Description Um problema de lógica de negócio e autorização inadequada existe no endpoint de API 'PATCH /api/teams/{id}'. O sistema remove todos os membros atuais da equipe antes de validar a nova lista de membros fornecida na requisição. Um usuário autenticado com permissões de edição de equipe pode enviar um payload members malformado, fazendo com que o sistema exclua os registros de associação existentes, mesmo que um erro de validação seja retornado. Este processo ignora as proteções que normalmente impedem a remoção de líderes de equipe, podendo deixar uma equipe sem nenhum membro ou liderança e interrompendo o controle de acesso.

Recommendations Atualize para a versão 2.63.0 ou posterior. Evite usar o parâmetro members no endpoint 'PATCH /api/teams/{id}' até que a atualização seja aplicada.