प्लेटफ़ॉर्म
php
घटक
kimai
में ठीक किया गया
1.16.4
2.53.0
CVE-2026-40479 describes a stored Cross-Site Scripting (XSS) vulnerability in Kimai, a time tracking software. This vulnerability arises from an incomplete security patch intended to address a previous XSS issue. The flawed escapeForHtml() function fails to properly escape quotes, enabling attackers to inject malicious HTML attributes when user-supplied data is rendered within HTML contexts. Affected versions include those from 1.16.3 up to, but not including, version 2.53.0.
Kimai में CVE-2026-40479 KimaiEscape.js में escapeForHtml() फ़ंक्शन को प्रभावित करता है। यह फ़ंक्शन पहले के JavaScript XSS भेद्यता को ठीक करने के लिए पेश किया गया था, लेकिन यह डबल कोट्स (") या सिंगल कोट्स (') को सही ढंग से एस्केप नहीं करता है। यह HTML एट्रिब्यूट इंजेक्शन को सक्षम करता है जब उपयोगकर्ता-नियंत्रित डेटा (जैसे प्रोफाइल उपनाम) HTML एट्रिब्यूट (जैसे title="DISPLAY") के भीतर उपयोग किया जाता है और innerHTML के माध्यम से प्रस्तुत किया जाता है। यह एक हमलावर को दुर्भावनापूर्ण HTML कोड इंजेक्ट करने की अनुमति देता है, जिससे संग्रहीत XSS (Stored XSS) हमला हो सकता है। संभावित प्रभाव में उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण स्क्रिप्ट का निष्पादन, सत्र कुकीज़ की चोरी, दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट और उपयोगकर्ता इंटरफ़ेस का हेरफेर शामिल है।
यह भेद्यता टीम सदस्य के प्रोफाइल उपनाम में दुर्भावनापूर्ण HTML कोड इंजेक्ट करके शोषण किया जाता है। इस उपनाम का उपयोग तब HTML एट्रिब्यूट (जैसे title) के भीतर किया जाता है और innerHTML के माध्यम से प्रस्तुत किया जाता है। एक हमलावर एक टीम सदस्य बना सकता है जिसमें दुर्भावनापूर्ण JavaScript कोड युक्त उपनाम है। जब टीम सदस्य की जानकारी प्रदर्शित होती है, तो दुर्भावनापूर्ण कोड उस उपयोगकर्ता के ब्राउज़र में निष्पादित होता है जो पृष्ठ को देख रहा है। इस भेद्यता के लिए एक हमलावर को टीम सदस्य के प्रोफाइल उपनाम को संशोधित करने में सक्षम होना आवश्यक है, जिसके लिए आमतौर पर व्यवस्थापक विशेषाधिकार या नए टीम सदस्य बनाने की क्षमता की आवश्यकता होती है।
Organizations and individuals using Kimai time tracking software, particularly those running versions between 1.16.3 and 2.52.9, are at risk. Shared hosting environments where multiple Kimai instances reside on the same server are especially vulnerable, as a compromise of one instance could potentially impact others.
• php: Examine Kimai's KimaiEscape.js file for the incomplete escapeForHtml() function. Search for instances where user-supplied data is rendered within HTML attributes without proper escaping.
grep -r "escapeForHtml\(" /path/to/kimai/js/• generic web: Monitor Kimai application logs for unusual activity, particularly errors related to HTML parsing or rendering.
grep -i "html parsing error" /path/to/kimai/logs/error.logdisclosure
एक्सप्लॉइट स्थिति
EPSS
0.01% (1% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता का समाधान Kimai को संस्करण 2.53.0 या उच्चतर में अपडेट करना है। इस संस्करण में escapeForHtml() फ़ंक्शन का एक सुधारात्मक कार्यान्वयन शामिल है जो सभी आवश्यक कोट्स को सही ढंग से एस्केप करता है। इस बीच, एक अस्थायी उपाय के रूप में, innerHTML के साथ प्रस्तुत किए गए सहित HTML एट्रिब्यूट में उपयोगकर्ता-नियंत्रित डेटा का सीधे उपयोग करने से बचें। HTML में उपयोग करने से पहले सभी इनपुट डेटा को मान्य और सही ढंग से एस्केप किया जाना चाहिए। इसके अतिरिक्त, किसी भी अन्य अपूर्ण HTML एस्केप उदाहरण की पहचान करने और ठीक करने के लिए कोड की समीक्षा और ऑडिट करें।
Actualice Kimai a la versión 2.53.0 o posterior para mitigar la vulnerabilidad de XSS. Esta actualización corrige el problema de escape incompleto en la función `escapeForHtml()` que permite la inyección de atributos HTML.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
XSS (क्रॉस-साइट स्क्रिप्टिंग) एक प्रकार की सुरक्षा भेद्यता है जो हमलावरों को अन्य उपयोगकर्ताओं द्वारा देखे जाने वाले वेब पृष्ठों में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है।
संस्करण 2.53.0 CVE-2026-40479 भेद्यता को ठीक करता है, जिससे दुर्भावनापूर्ण HTML कोड का इंजेक्शन रोका जा सकता है।
एक अस्थायी उपाय के रूप में, HTML एट्रिब्यूट में उपयोगकर्ता-नियंत्रित डेटा का सीधे उपयोग करने से बचें और सुनिश्चित करें कि सभी इनपुट डेटा को सही ढंग से एस्केप किया गया है।
यदि आप 2.53.0 से पहले के संस्करण का उपयोग कर रहे हैं, तो आपका इंस्टॉलेशन भेद्य है।
अन्य भेद्यताओं और सुरक्षा पैच के बारे में जानकारी के लिए Kimai के रिलीज़ नोट्स की समीक्षा करने की अनुशंसा की जाती है।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।