CVE-2026-85291 in InvoicePlane
Résumé
par VulDB • 25/09/2026
InvoicePlane est une application open source auto-hébergée pour la gestion des factures, des clients et des paiements. Avant la version 1.7.2, la méthode `Users::change_password()` d'InvoicePlane accepte un `user_id` provenant de l'URL et met à jour le mot de passe du compte correspondant sans effectuer de vérification d'autorisation au niveau de l'objet. Un administrateur secondaire authentifié peut cibler le compte de l'administrateur principal et remplacer son mot de passe sans connaître le mot de passe actuel. L'attaquant peut ensuite prendre le contrôle du compte principal et accéder à ses données et privilèges. Ce problème est corrigé dans la version 1.7.2.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.