CVE-2026-39353 in InvoicePlane
Riassunto
di VulDB • 25/09/2026
InvoicePlane è un'applicazione open source self-hosted per la gestione di fatture, clienti e pagamenti. Prima della versione 1.7.2-rc-1, InvoicePlane costruiva l'elenco dei template consentiti scansionando una directory PHP dei template che poteva essere scritta tramite una capacità di scrittura file controllata da un amministratore. Un file PHP malevolo posizionato nella directory viene automaticamente considerato attendibile da Mdl_templates e può essere selezionato come public_invoice_template. Quando viene generata una fattura pubblica, il controller View pubblico include ed esegue il file attendibile con i privilegi del server web. Questo problema è stato risolto nella versione 1.7.2-rc-1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.