CVE-2026-49865

Kimai açıq mənbəli vaxt izləmə tətbiqidir. 2.58.0 versiyasından əvvəlki versiyalarda faktura PDF önizləməsi və generasiya iş axınında server tərəfli sorğu saxtakarlığı (SSRF) zəifliyi mövcuddur. Əgər hücumçu daha sonra faktura PDF-nə çevrilən Markdown məzmununu (məsələn, `Customer.invoiceText`) idarə edə bilərsə, server tərəfli PDF rendereri Markdown şəkil sintaksisində yerləşdirilmiş uzaq şəkil URL-lərini çağıracaqdır. Bu, tətbiq serverinin PDF renderi zamanı hücumçunun nəzarət etdiyi və ya daxili hədəflərə doğru çıxan sorğular göndərməsinə imkan verir. Bu davranış daxili şəbəkənin araşdırılması, server tərəfli əlçatanlıq yoxlamaları və tətbiqin qurulma mühitindən və əlçatan daxili xidmətlərdən asılı olaraq potensial olaraq növbəti istismarlar üçün istifadə edilə bilər. 2.58.0 versiyası bu problemi aradan qaldırır.