CVE-2026-44298
Təsvir
Kimai açıq mənbəli vaxt izləmə tətbiqidir. Versiya 2.32.0-dan versiya 2.56.0-a qədər olan hissədə, System-Admin (ROLE_SYSTE_ADMIN) rolu və upload_invoice_template icazəsi olan istifadəçilər PDF faktura şablonlarını yükləyə bilirlər ki, bu da qum sandbox-da yerləşən Twig render daxilində pdfContext.setOption('associated_files', ...) funksiyasını çağıra bilir. Bu, mPDF-in SetAssociatedFiles() funksiyasına ötürülür və onun yazıcısı PDF çıxışı zamanı file_get_contents($entry['path']) funksiyasını çağıraraq baytları PDF-də FlateDecode axını kimi yerləşdirir. PHP işçisi (worker) tərəfindən oxuna bilən hər hansı fayl render edilmiş faktura daxilində hücumçuya qaytarılır. Bu problem 2.56.0 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- kimai kimai2.56.0 və ya daha yeni versiya
- kimai/kimai2.56 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| kimai kimai | 2.32.0 ≤ v < 2.56.0 | 2.56.0 |
| kimai/kimaiPackagist | 2.32.0 ≤ v < 2.56 | 2.56 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.