CVE-2026-39353 in InvoicePlane
Zusammenfassung
von VulDB • 25.09.2026
InvoicePlane ist eine selbst gehostete Open-Source-Anwendung zur Verwaltung von Rechnungen, Kunden und Zahlungen. Vor der Version 1.7.2-rc-1 erstellt InvoicePlane die Liste der zulässigen Templates, indem es ein PHP-Tempateverzeichnis scannt, das über eine vom Administrator gesteuerte Datei-Schreibfunktion beschrieben werden kann. Eine bösartige PHP-Datei, die in diesem Verzeichnis platziert wird, wird von Mdl_templates automatisch als vertrauenswürdig eingestuft und kann als public_invoice_template ausgewählt werden. Wenn eine öffentliche Rechnung gerendert wird, schließt der guest View Controller die vertrauenswürdige Datei ein und führt sie mit den Berechtigungen des Webservers aus. Dieses Problem wurde in Version 1.7.2-rc-1 behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.