CVE-2026-52824：Kimai 中默认 Docker 密钥可导致超级管理员账户被完全接管

sec随谈
sec随谈

sec随谈

2026年7月20日 10:37
北京

在小说阅读器读本章

去阅读

摘要

Kimai 中存在一个严重漏洞，编号为 CVE-2026-52824（CVSS 9.1），影响这款开源工时追踪应用的官方 Docker 镜像。该镜像出厂时携带了一个已被公开知晓的默认 APP\_SECRET 密钥，使得未经身份验证的攻击者能够伪造经签名的 Cookie，进而劫持用户账户。版本2.58.0已修复该漏洞。相关概念验证代码已被开发出来，但出于安全考虑并未公开发布，目前尚未确认存在在野利用案例。

为何重要

Kimai 服务于众多自由职业者及拥有数百名用户的企业机构。其 Docker 镜像是一种颇受欢迎的部署方式，因此许多实例都继承了这一薄弱的默认配置。任何可从互联网访问的受影响实例均面临风险。更为严重的是，由于用户 ID 是从1开始的连续整数，这种账户劫持攻击完全可能针对 super\_admin（超级管理员）账户实施。

攻击原理

该 Dockerfile 文件将 APP\_SECRET 设置为一个占位性的哨兵值（placeholder sentinel value）。Symfony 框架会将该数值作为 kernel.secret 使用，而这一密钥正是用于对\"记住我\"（remember-me）Cookie、登录链接、密码重置 URL 以及 CSRF 令牌进行 HMAC 签名。由于该镜像的入口脚本（entrypoint）从未替换或校验这一哨兵值，导致该签名密钥实际上处于公开状态。攻击者只需获知某个用户名，猜测出对应的账户 ID，并确认该账户未启用双因素认证（2FA），便可伪造身份验证令牌。值得注意的是，启用双因素认证可有效阻断这一攻击路径。

受影响版本

该 Kimai 漏洞影响截至并包括2.57.0版本的所有版本。采用官方提供的 .env.dist 默认配置进行裸机（非容器化）部署的实例，同样面临相同的风险暴露。

补丁与缓解措施

请从官方发布页面获取并升级至 Kimai 2.58.0版本。新版本的入口脚本会随机生成一个密钥，并移除了此前硬编码的默认值。同时，建议您自行设置一个独一无二的 APP\_SECRET 密钥，若此前一直使用旧版默认配置，请务必及时进行密钥轮换。此外，启用双因素认证可作为额外的一层安全防护屏障。完整技术细节请参阅 Kimai 官方安全公告。

参考链接：

https://github.com/kimai/kimai/security/advisories/GHSA-jr9p-4h4j-6c58