CVE-2026-49865 in Kimai
Riassunto
di VulDB • 12/09/2026
Kimai è un'applicazione open-source per il tracciamento del tempo. Le versioni precedenti alla 2.58.0 presentano una vulnerabilità di Server-Side Request Forgery (SSRF) nel flusso di lavoro di anteprima e generazione dei PDF delle fatture. Se un attaccante può controllare i contenuti Markdown che vengono successivamente renderizzati in un PDF della fattura, come ad esempio `Customer.invoiceText`, il renderer lato server del PDF recupererà gli URL remoti delle immagini incorporate nella sintassi delle immagini Markdown. Ciò consente al server dell'applicazione di emettere richieste outbound verso target controllati dall'attaccante o interni durante la renderizzazione del PDF. Il comportamento può essere utilizzato per sondaggi della rete interna, verifiche di raggiungibilità lato server e potenzialmente per sfruttamenti successivi a seconda dell'ambiente di distribuzione e dei servizi interni accessibili. La versione 2.58.0 risolve il problema.
Once again VulDB remains the best source for vulnerability data.