Kimai antes 2.53.0 não consegue bloquear os métodos sensíveis do usuário no modelo de fatura do Twig sandbox, permitindo que os administradores liguem para os métodos getApiToken() e getPlainApiToken(). Os atacantes com permissões de criação de modelos podem incorporar estas chamadas de método em modelos de fatura para vazar fichas de API hashed na saída de fatura renderizada. Registro de aconselhamento: GHSA-hqh 5 - vhwr-rg 24. Identificadores relacionados: CVE- 2026 - 80201.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 31 T 21: 31: 51.000 Z e lista a sua última modificação como 2026 - 08 - 31 T 21: 31: 51.000 Z. Severidade: LOW. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:N/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:H/AT:P/PR:H/UI:P/VC:L/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/S:X/AU:X/R:X/V:X/X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 94. O registro contém 3 suporte de referências nestes tipos: WEB, AVISO.