Vulnerabilidad en kimai (CVE-2026-23626)

Gravedad CVSS v3.1:

MEDIA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

18/01/2026

Última modificación:

18/02/2026

Descripción

Kimai es una aplicación de seguimiento de tiempo multiusuario basada en web. Antes de la versión 2.46.0, la funcionalidad de exportación de Kimai utiliza un Twig sandbox con una política de seguridad excesivamente permisiva (&#39;DefaultPolicy&#39;) que permite llamadas a métodos arbitrarias en objetos disponibles en el contexto de la plantilla. Un usuario autenticado con permisos de exportación puede desplegar una plantilla Twig maliciosa que extrae información sensible, incluyendo variables de entorno, todos los hashes de contraseña de usuario, tokens de sesión serializados y tokens CSRF. La versión 2.46.0 corrige este problema.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.80 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Alto
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno