JVNDB-2026-015649

Kimai projectのKimaiにおけるCSV ファイル内の数式要素の中和に関する脆弱性

Kimaiはオープンソースのタイムトラッキングアプリケーションです。バージョン2.27.0から2.54.0未満のバージョンでは、任意のROLE_USERがPOST /api/tagsを介して、名前に数式文字列（例: =SUM(54+51)）を含むタグを作成し、それをタイムシートに割り当てることが可能でした。管理者がタイムシートをXLSX形式でエクスポートする際、ArrayFormatter.formatValue()はタグ名をimplode()で結合し、その結果を変更せずに返します。OpenSpoutは、=で始まる文字列をFormulaCellとして扱い、XLSXアーカイブ内にfSUM(54+51)/fを書き込みます。Excelはファイルを開く際にその数式を評価します。この問題はバージョン2.54.0で修正されました。

Kimai project

• Kimai 2.27.0 以上 2.54.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Formula Injection via tag names in XLSX export  Advisory  kimai/kimai  GitHub

1. CSV ファイル内の数式要素の不適切な中和(CWE-1236) [その他]

1. CVE-2026-42267

1. National Vulnerability Database (NVD) : CVE-2026-42267
2. 関連文書 : Release 2.54.0  kimai/kimai  GitHub

• [2026年05月15日]
    掲載