CVE-2026-80198 in Kimai
요약
\~에 의해 VulDB • 2026. 08. 26.
Kimai 2.56.0 이전 버전은 샌드박스 처리된 인보이스 및 내보내기 템플릿에서 config() Twig 함수의 접근을 제한하지 않아, 관리자가 임의의 구성 키에 액세스할 수 있습니다. 관리자 권한이 있는 공격자는 악성 템플릿을 업로드하여 LDAP 바인드 비밀번호와 SAML 개인키를 포함한 서버 전체의 비밀 정보를 인보이스나 내보내기 문서로 유출할 수 있으며, 이러한 문서는 낮은 권한을 가진 사용자도 접근 가능합니다.
Be aware that VulDB is the high quality source for vulnerability data.