PT-2026-3401 · Kimai · Kimai

Huseynkhanli · Publicado 2026-01-18 · Atualizado 2026-02-18 · CVE-2026-23626

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Kimai anteriores à 2.46.0

Descrição O Kimai é um aplicativo web de acompanhamento de tempo multiusuário. A funcionalidade de exportação utiliza um sandbox do Twig com uma política de segurança excessivamente permissiva (DefaultPolicy), permitindo chamadas de métodos arbitrários em objetos dentro do contexto do template. Um usuário autenticado com permissões de exportação pode explorar isso para implantar um modelo Twig malicioso, possivelmente extraindo informações sensíveis. Essas informações incluem variáveis de ambiente, todos os hashes de senha de usuários, tokens de sessão serializados e tokens CSRF.

Recomendações Atualize para a versão 2.46.0 ou posterior.

Exploit

Correção

Enumeração de Fraquezas

CWE-1336

Identificadores relacionados

CVE-2026-23626

GHSA-JG2J-2W24-54CG

Produtos afetados

Kimai

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/23xxx/CVE-2026-23626.json · Exploit
• https://github.com/kimai/kimai · Nota
• https://github.com/kimai/kimai/security/advisories/GHSA-jg2j-2w24-54cg · Aviso do Fabricante
• https://github.com/kimai/kimai/commit/6a86afb5fd79f6c1825060b87c09bd1909c2e86f · Correção
• https://github.com/kimai/kimai/pull/5757 · Nota
• https://github.com/kimai/kimai/releases/tag/2.46.0 · Nota
• https://twig.symfony.com/doc/3.x/api.html#sandbox-extension · Nota
• https://twitter.com/VulmonFeeds/status/2013037455428006120 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-jg2j-2w24-54cg · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-23626 · Nota de Segurança
• https://twitter.com/CVEnew/status/2013021919998570695 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-23626 · Aviso do Fabricante
• https://t.me/cveNotify/152364 · Publicação no Telegram