CVE-2026-24746 in InvoicePlane
Resumen
por MITRE • 2026-02-18
InvoicePlane es una aplicación de código abierto autoalojada para gestionar facturas, clientes y pagos. Hay una vulnerabilidad de cross-site scripting (XSS) almacenado en la función de 'Editar Presupuestos' de InvoicePlane versión 1.7.0. En la función de 'Editar Presupuestos', la aplicación no valida la entrada del usuario en el parámetro quote_number. Aunque se requieren privilegios de administrador para explotarla, esto sigue siendo considerado una vulnerabilidad crítica, ya que puede causar acciones como la modificación no autorizada de datos de la aplicación, la creación de puertas traseras persistentes a través de scripts maliciosos almacenados y el compromiso total de la integridad de la aplicación. La versión 1.7.1 corrige el problema.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.