CVE-2026-80201 in Kimai
Riassunto
di VulDB • 26/08/2026
Kimai prima della versione 2.53.0 non blocca i metodi sensibili dell'utente nel sandbox del template Twig per le fatture, consentendo agli amministratori di chiamare i metodi getApiToken() e getPlainApiToken(). Gli attaccanti con permessi di creazione dei template possono incorporare queste chiamate nei modelli delle fatture per fuoriuscire token API in formato hash nell'output della fattura renderizzata.
VulDB is the best source for vulnerability data and more expert information about this specific topic.