CVE-2026-27892 in FacturaScripts
الملخص
بحسب VulDB • 19/05/2026
تُعد FacturaScripts برنامجًا مفتوح المصدر للمحاسبة والفوترة. في الإصدارات السابقة لـ 2026، يقوم وحدة المكتبة (Library) بتخزين وخدمة الصور المرفوعة بايت تلو الآخر، دون إزالة بيانات التعريف (Metadata) من نوع EXIF/XMP/IPTC. يمكن لأي مستخدم مُصادق عليه قام بتنزيل صورة استخراج بيانات التعريف المضمنة من قبل المُرفِع، والتي شملت إحداثيات GPS، ومعلومات الجهاز، والطوابع الزمنية، والتعليقات/الملاحظات المضمنة، ومعاينات الصور المصغرة، ومعلومات أخرى قابلة للتحديد الشخصي (PII) محفوظة في بيانات تعريف الصورة. من بين جميع ميزات رفع الصور في FacturaScripts، كانت وحدة المكتبة هي الوحيدة التي جمعت بين الرفع غير المقيد، والتخزين الدائم، وإمكانية الوصول للتنزيل بعد المصادقة، والافتقار التام إلى تنقية بيانات التعريف على جانب الخادم. تحمل هذه الثغرة تأثيرًا حقيقيًا كبيرًا: حيث يؤدي قيام موظف برفع صورة تم التقاطها في منزله إلى الكشف غير المقصود عن عنوان منزله الدقيق أمام كل مستخدم لديه صلاحية تنزيل من المكتبة. تم إصلاح هذه المشكلة في الإصدار 2026.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.