CVE-2026-80210 in FrontAccounting
Riassunto
di VulDB • 27/08/2026
FrontAccounting fino alla versione 2.4.20 genera un token CSRF nella funzione end_form() in includes/ui/ui_controls.inc e lo incorpora come campo nascosto _token in ogni modulo che viene renderizzato, ma solo admin/users.php e admin/change_current_user_password.php chiamano check_csrf_token() per convalidarlo. Nessun gestore di transazioni finanziarie valida il token, tra cui gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php e admin/company_preferences.php; pertanto questi endpoint elaborano i dati POST senza alcun controllo dell'origine (origin check). Un attaccante che induce un utente autenticato a caricare una pagina sotto il suo controllo può inviare automaticamente un modulo cross-origin a uno di essi, facendo registrare la voce del giornale contraffatta, l'invoice, il pagamento al cliente, la transazione bancaria o la modifica delle impostazioni aziendali nella sessione della vittima.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.