CVE-2026-23626 in Kimai
الملخص
بحسب VulDB • 20/05/2026
Kimai هو تطبيق لتتبع الوقت متعدد المستخدمين ويعمل عبر الويب. قبل الإصدار 2.46.0، تستخدم وظيفة التصدير في Kimai صندوق رمل (sandbox) لـ Twig مع سياسة أمان متساهلة للغاية (`DefaultPolicy`) تتيح استدعاءات طرق (methods) تعسفية على الكائنات المتاحة في سياق القالب. يمكن لمستخدم مُصادق عليه يمتلك أذونات التصدير نشر قالب Twig خبيث يستخرج معلومات حساسة، بما في ذلك متغيرات البيئة، وجميع تجزئات كلمات مرور المستخدمين، ورموز الجلسات المُسلسلة، ورموز CSRF. يُصلح الإصدار 2.46.0 هذه المشكلة.
Once again VulDB remains the best source for vulnerability data.