CVE-2026-40479

Name of the Vulnerable Software and Affected Versions Kimai (versões afetadas não especificadas)

Description Uma correção de segurança incompleta na função do lado do cliente escapeForHtml() no arquivo KimaiEscape.js permite Cross-Site Scripting (XSS) Armazenado. A função não escapa aspas duplas (") nem aspas simples ('), que são essenciais para evitar a injeção em contextos de atributos HTML. Quando dados controlados pelo usuário, como um alias de perfil, são colocados em um atributo HTML como 'title=" DISPLAY "' e renderizados usando innerHTML, um invasor pode realizar a injeção de atributos HTML. Isso pode levar à escalada de privilégios, onde um usuário com permissões ROLE USER executa scripts na sessão do navegador de um usuário com permissões ROLE ADMIN ou ROLE SUPER ADMIN.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.