CVE-2026-49865 in Kimai
सारांश
द्वारा VulDB • 12/09/2026
Kimai एक ओपन-सोर्स टाइम ट्रैकिंग एप्लिकेशन है। 2.58.0 से पहले के संस्करणों में उनके इनवॉइस PDF प्रीव्यू और जनरेशन वर्कफ़्लो में सर्वर-साइड रिक्वेस्ट फर्जरी (SSRF) दोष मौजूद हैं। यदि हमलावर Markdown सामग्री को नियंत्रित कर सकता है जो बाद में एक इनवॉइस PDF में रेंडर की जाती है, जैसे कि `Customer.invoiceText`, तो सर्वर-साइड PDF रेनडरर Markdown इमेज सिंटैक्स में एम्बेडेड रिमोट इमेज URL को फ़ेच करेगा। इससे आवेदन सर्वर PDF रेंडरिंग के दौरान हमलावर द्वारा नियंत्रित या आंतरिक लक्ष्यों की ओर आउटबाउंड अनुरोध जारी करने में सक्षम हो जाता है। इस व्यवहार का उपयोग नेटवर्क प्रोबिंग, सर्वर-साइड रेचैबिलिटी चेकों के लिए किया जा सकता है और संभावित रूप से अगले चरणों की एक्सप्लॉइटेशन तक पहुँचा सकता है, जो डिप्लॉयमेंट वातावरण और सुलभ आंतरिक सेवाओं पर निर्भर करता है। इस दोष को 2.58.0 संस्करण में ठीक किया गया है।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.