CVE-2026-49865

Kimai açık kaynaklı bir zaman takip uygulamasıdır. 2.58.0 öncesindeki sürümler, fatura PDF önizleme ve oluşturma iş akışında bir sunucu tarafı istek sahteciliği (SSRF) zafiyeti içermektedir. Bir saldırgan, `Customer.invoiceText` gibi daha sonra fatura PDF'ine dönüştürülen Markdown içeriğini kontrol edebilirse, sunucu tarafındaki PDF oluşturucu, Markdown resim sözdizimine gömülmüş uzak resim URL'lerini getirecektir. Bu durum, uygulama sunucusunun PDF oluşturma sırasında saldırgan tarafından kontrol edilen veya dahili hedeflere giden istekler göndermesine olanak tanır. Bu davranış; dahili ağ taraması, sunucu tarafı erişilebilirlik kontrolleri ve dağıtım ortamına ile erişilebilir dahili hizmetlere bağlı olarak potansiyel devam eden istismarlar için kullanılabilir. 2.58.0 sürümü bu sorunu gidermektedir.