CVE-2026-42267

Orta

Açıklama

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.27.0 versiyonundan 2.54.0 versiyonu öncesine kadar, herhangi bir ROLE_USER, POST /api/tags üzerinden adı formül dizgesi olan (örneğin =SUM(54+51)) bir etiket oluşturabilir ve bunu bir zaman çizelgesine atayabilir. Bir yönetici zaman çizelgelerini XLSX formatında dışa aktardığında, ArrayFormatter.formatValue() etiket adlarını implode() ile birleştirir ve sonucu değiştirilmeden döndürür. OpenSpout, =- önekiyle başlayan her dizgeyi bir FormulaCell'e dönüştürerek XLSX arşivine <f>SUM(54+51)</f> yazar. Dosya açıldığında Excel bu formülü değerlendirir. Bu sorun 2.54.0 versiyonunda düzeltilmiştir.

ÖnemOrta

CVSS5.7

İstismar olasılığı—

ÜrünKimai

Yayın8 May 2026

İlk görülme8 May 2026

Zayıflık türüCWE-1236CWE-1236

Nasıl düzeltilir

Güncelleyin

kimai kimai2.54.0 ya da sonraki bir sürüm
kimai/kimai2.54.0 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
kimai kimai	2.27.0 ≤ v < 2.54.0	2.54.0
kimai/kimaiPackagist	2.27.0 ≤ v < 2.54.0	2.54.0

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.