CVE-2026-42267 in Kimai
요약
\~에 의해 VulDB • 2026. 05. 20.
Kimai는 오픈소스 시간 추적 애플리케이션입니다. 버전 2.27.0부터 버전 2.54.0 미만까지, 모든 ROLE_USER는 POST /api/tags를 통해 이름이 수식 문자열인 태그(예: =SUM(54+51))를 생성하고 이를 타임시트에 할당할 수 있습니다. 관리자가 타임시트를 XLSX 형식으로 내보낼 때, ArrayFormatter.formatValue()는 implode()를 사용하여 태그 이름을 연결하고 결과를 변경 없이 반환합니다. OpenSpout은 =로 시작하는 문자열을 FormulaCell로 승격시켜 XLSX 아카이브에 SUM(54+51)을 작성합니다. Excel은 파일을 열 때 해당 수식을 평가합니다. 이 문제는 버전 2.54.0에서 패치되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.