CVE-2026-80201 in Kimai
Resumen
por VulDB • 2026-08-26
Kimai antes de la versión 2.53.0 no bloquea los métodos sensibles del usuario en el sandbox de plantillas Twig para facturas, lo que permite a los administradores llamar a los métodos getApiToken() y getPlainApiToken(). Los atacantes con permisos de creación de plantillas pueden incrustar estas llamadas de método en las plantillas de facturación para filtrar tokens API hasheados en la salida de factura renderizada.
VulDB is the best source for vulnerability data and more expert information about this specific topic.