PT-2026-33216 · Kimai · Kimai

Kevinpapst · Publicado 2026-04-15 · Atualizado 2026-04-27 · CVE-2026-40479

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Kimai (versões afetadas não especificadas)

Description Uma correção de segurança incompleta na função do lado do cliente escapeForHtml() no arquivo KimaiEscape.js permite Cross-Site Scripting (XSS) Armazenado. A função não escapa aspas duplas (") nem aspas simples ('), que são essenciais para evitar a injeção em contextos de atributos HTML. Quando dados controlados pelo usuário, como um alias de perfil, são colocados em um atributo HTML como 'title=" DISPLAY "' e renderizados usando innerHTML, um invasor pode realizar a injeção de atributos HTML. Isso pode levar à escalada de privilégios, onde um usuário com permissões ROLE USER executa scripts na sessão do navegador de um usuário com permissões ROLE ADMIN ou ROLE SUPER ADMIN.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

LPE

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-40479

GHSA-G82G-M9VX-VHJG

Produtos afetados

Kimai

Referências · 10

• https://github.com/kimai/kimai · Nota
• https://github.com/kimai/kimai/security/advisories/GHSA-g82g-m9vx-vhjg · Aviso do Fabricante
• https://github.com/kimai/kimai/releases/tag/2.53.0 · Nota
• https://github.com/kimai/kimai/pull/2959 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-40479 · Nota de Segurança
• https://twitter.com/dailycve/status/2044579911503868169 · Publicação no Twitter
• https://t.me/cveNotify/161147 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-g82g-m9vx-vhjg · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045467371519754298 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2045365559554949447 · Publicação no Twitter