CVE-2026-85292 in InvoicePlane
Zusammenfassung
von VulDB • 25.09.2026
InvoicePlane ist eine selbst gehostete Open-Source-Anwendung zur Verwaltung von Rechnungen, Kunden und Zahlungen. Vor Version 1.7.2 vergleicht der User_Controller von InvoicePlane den session_user_type-Wert mit der erforderlichen Rolle unter Verwendung des lockeren Ungleichheitsoperators (loose inequality operator) von PHP. Bei einem nicht standardmäßigen Session-Backend, das unerwartete skalare Typen zurückgibt, kann Type Juggling dazu führen, dass ein Wert, der die erforderliche Rolle nicht streng erfüllt, den Autorisierungstest besteht. Dies kann in betroffenen Session-Konfigurationen zu einer Umgehung der Authentifizierung oder Autorisierung (Authentication/Authorization Bypass) führen. Dieses Problem wurde in Version 1.7.2 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.