W aplikacji Kimai 2 w wersji 1.30.0 wykryto podatność typu Cross Site Scripting (XSS) w komponencie MarkdownExtension. Podatność pozwala atakującemu na eskalację uprawnień w aplikacji.
▸ Pokaż oryginał (EN)
Cross Site Scripting (XSS) vulnerability in kevinpapst kimai2 1.30.0 in /src/Twig/Runtime/MarkdownExtension.php, allows attackers to gain escalated privileges.
Podatność znajduje się w pliku /src/Twig/Runtime/MarkdownExtension.php, który odpowiada za przetwarzanie treści w formacie Markdown. Nieodpowiednia walidacja lub sanityzacja danych wejściowych pozwala atakującemu na wstrzyknięcie złośliwego kodu JavaScript do renderowanej strony. Atak wymaga interakcji ofiary (np. kliknięcia w spreparowany link lub wyświetlenia strony z osadzonym payloadem), a jego skutki wykraczają poza domenę źródłową (Scope: Changed).
Atakujący może uzyskać eskalację uprawnień w aplikacji Kimai 2, a także potencjalnie przejąć sesję zalogowanego użytkownika lub wykonać nieautoryzowane działania w jego imieniu. Wysoki wynik CVSS wskazuje na możliwość naruszenia poufności, integralności i dostępności danych.
Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka została wprowadzona w ramach pull request #962 w repozytorium GitHub kevinpapst/kimai2.
Kimai 2 (kevinpapst/kimai2) w wersji 1.30.0
Podatność została opublikowana w lutym 2023 roku, mimo że dotyczy wersji 1.30.0. Poprawka dostępna jest w pull request #962 repozytorium kevinpapst/kimai2 na GitHub.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HKimai
APPKimai1.30.0
Powiązane podatności
Kimai 1.30.10 contains a SameSite cookie vulnerability that allows attackers to steal user session cookies thr...
Kimai is a web-based multi-user time-tracking application. Versions prior to 2.1.0 are vulnerable to a Server-...
CSV Injection (aka Excel Macro Injection or Formula Injection) exists in creating new timesheet in Kimai. By f...
Kimai to otwarte oprogramowanie do śledzenia czasu pracy. W wersjach od 2.27.0 do przed 2.54.0, każdy użytkown...
Kimai jest open-source'ową aplikacją do śledzenia czasu pracy. W wersjach od 2.32.0 do przed wersją 2.56.0, uż...