PT-2022-11865 · Kimai2+1 · Kimai2+1

Publicado 2022-04-08 · Atualizado 2022-04-14 · CVE-2021-43515

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Kimai anteriores à 1.14.1

Versões do Kimai 2 anteriores à 1.14.1

Descrição

Existe uma vulnerabilidade de injeção de CSV na criação de novas planilhas de horas no Kimai. Ao preencher o campo Descrição com uma carga maliciosa, esta será processada incorretamente durante a exportação para um arquivo CSV.

Recomendações

Para versões do Kimai anteriores à 1.14.1, atualize para a versão 1.14.1 ou posterior para resolver o problema.

Para versões do Kimai 2 anteriores à 1.14.1, atualize para a versão 1.14.1 ou posterior para resolver o problema.

Como solução temporária, considere restringir o uso do campo Descrição em novas planilhas de horas até que um patch esteja disponível.

Correção

RCE

Enumeração de Fraquezas

CWE-1236

Identificadores relacionados

CVE-2021-43515

GHSA-64FQ-9C6W-RQ44

Produtos afetados

Kimai

Kimai2

Referências · 8

• https://github.com/kevinpapst/kimai2 · Nota
• https://github.com/kevinpapst/kimai2/commit/dad1b8b772947f1596175add1b4f33b791705507#diff-6774f5865dbaf8bc6c55b75bd92e6f9950ebe7834aa2efd828a19fd637e667cf · Correção
• https://github.com/kevinpapst/kimai2/pull/2532 · Nota
• https://t.me/cibsecurity/40396 · Publicação no Telegram
• https://t.me/cvenotify/28934 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-43515 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-64fq-9c6w-rq44 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-43515 · Aviso do Fabricante