MEDIUM🇬🇧 English

CVE-2026-44298

CVSS 4.1v3.1pub. 2026-05-08

Kimai jest open-source'ową aplikacją do śledzenia czasu pracy. W wersjach od 2.32.0 do przed wersją 2.56.0, użytkownicy z rolą System-Admin (ROLE_SYSTE_ADMIN) i uprawnieniami upload_invoice_template mogą przesyłać szablony faktur PDF, które mogą wywoływać pdfContext.setOption('associated_files', ...) wewnątrz sandboxowanego Twig render. Jest to przekazywane do SetAssociatedFiles() biblioteki mPDF, której writer wywołuje file_get_contents($entry['path']) podczas generowania PDF i osadza bajty jako strumień FlateDecode w pliku. Każdy plik czytelny dla PHP worker'a jest zwracany atakującemu wewnątrz wyrenderowanej faktury. Podatność została naprawiona w wersji 2.56.0.

▸ Pokaż oryginał (EN)

Kimai is an open-source time tracking application. From version 2.32.0 to before version 2.56.0, users with the role System-Admin (ROLE_SYSTE_ADMIN) and the permission upload_invoice_template can upload PDF invoice templates, which can call pdfContext.setOption('associated_files', ...) inside the sandboxed Twig render. This is forwarded to mPDF's SetAssociatedFiles(), whose writer calls file_get_contents($entry['path']) during PDF output and embeds the bytes as a FlateDecode stream in the PDF. Any file readable by the PHP worker is returned to the attacker inside the rendered invoice. This issue has been patched in version 2.56.0.