CVE-2026-23626mediumCWE-1336

Kimai Vulnerable to Authenticated Server-Side Template Injection (SSTI)

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.8epss 0.4%

probabilidade de exploração

0.4%top 68% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

A funcionalidade de exportação do Kimai permite que usuários autenticados injetem código malicioso através de templates, potencialmente expondo dados sensíveis como senhas e variáveis de ambiente. Isso ocorre porque as restrições de segurança no processamento de templates são muito permissivas.

Detalhe técnico

Kimai em versões anteriores à 2.46.0 usa templates Twig com sandbox DefaultPolicy que permite invocação irrestrita de métodos em objetos do contexto. Usuários autenticados com permissão de exportação podem criar templates Twig maliciosos para acessar e exfiltrar variáveis de ambiente, hashes de senhas, tokens de sessão e tokens CSRF via Server-Side Template Injection (SSTI).

Resumo gerado e traduzido por IA a partir da descrição oficial.

Kimai is a web-based multi-user time-tracking application. Prior to version 2.46.0, Kimai's export functionality uses a Twig sandbox with an overly permissive security policy (`DefaultPolicy`) that allows arbitrary method calls on objects available in the template context. An authenticated user with export permissions can deploy a malicious Twig template that extracts sensitive information including environment variables, all user password hashes, serialized session tokens, and CSRF tokens. Version 2.46.0 patches this issue.

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Produtos afetados

kimai · kimai

Referências

https://github.com/kimai/kimai/commit/6a86afb5fd79f6c1825060b87c09bd1909c2e86f https://github.com/kimai/kimai/pull/5757 https://github.com/kimai/kimai/releases/tag/2.46.0 https://github.com/kimai/kimai/security/advisories/GHSA-jg2j-2w24-54cg