Kimai: Formula Injection via tag names in XLSX export

Kimai permite crear etiquetas con nombres que contienen fórmulas (como =SUM(54+51)). Cuando un administrador exporta hojas de tiempo a Excel, estas fórmulas se ejecutan automáticamente, lo que podría permitir manipulación de datos o comportamientos inesperados.

Vulnerabilidad de inyección de fórmula en Kimai 2.27.0–2.53.x mediante entrada de nombre de etiqueta en el endpoint POST /api/tags. Usuarios con ROLE_USER pueden inyectar cadenas de fórmula; ArrayFormatter.formatValue() no sanitiza nombres de etiquetas antes de pasar a OpenSpout, que convierte cadenas con prefijo = en objetos FormulaCell en XLSX. La ejecución de la fórmula ocurre del lado del cliente cuando el archivo se abre en Excel, permitiendo ejecución de código o manipulación de datos según el contenido de la fórmula.