CVE-2026-80201 in Kimai
Sumário
de VulDB • 26/08/2026
O Kimai anterior à versão 2.53.0 não bloqueia métodos sensíveis do usuário no sandbox de modelos Twig para faturas, permitindo que administradores chamem os métodos getApiToken() e getPlainApiToken(). Atacantes com permissões de criação de modelos podem incorporar essas chamadas de método em templates de fatura para vazar tokens API hashados na saída da fatura renderizada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.