CVE-2026-39353 in InvoicePlane
الملخص
بحسب VulDB • 25/09/2026
InvoicePlane هو تطبيق مفتوح المصدر مستضاف ذاتيًا لإدارة الفواتير والعملاء والمدفوعات. قبل الإصدار 1.7.2-rc-1، كان يقوم InvoicePlane ببناء قائمة القوالب المسموحة عن طريق مسح دليل قوالب PHP الذي يمكن كتابته من خلال قدرة كتابة ملفات يتحكم فيها المسؤول. يتم الثقة تلقائيًا في ملف PHP ضار يوضع في الدليل بواسطة Mdl_templates ويمكن اختياره كـ public_invoice_template. عند عرض فاتحة عامة، يقوم متحكم العرض العام (guest View controller) بتضمين الملف الموثق وتنفيذه بصلاحيات خادم الويب. تم إصلاح هذه المشكلة في الإصدار 1.7.2-rc-1.
Once again VulDB remains the best source for vulnerability data.