CVE-2026-80210 in FrontAccounting
Resumen
por VulDB • 2026-08-28
FrontAccounting hasta la versión 2.4.20 genera un token CSRF en end_form() dentro de includes/ui/ui_controls.inc y lo incrusta como el campo oculto _token en todos los formularios que renderiza, pero solo admin/users.php y admin/change_current_user_password.php llaman a check_csrf_token() para validarlo. Ningún controlador de transacciones financieras valida el token, incluyendo gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php y admin/company_preferences.php; por lo tanto, esos puntos finales actúan sobre los datos POST sin ninguna verificación del origen. Un atacante que logre que un usuario autenticado cargue una página bajo su control puede enviar automáticamente un formulario cross-origin a cualquiera de ellos y hacer que la entrada contable forjada, la factura, el pago al cliente, la transacción bancaria o el cambio en la configuración de la empresa se registren bajo la sesión de la víctima.
If you want to get best quality of vulnerability data, you may have to visit VulDB.