CVE-2026-85274 in InvoicePlane
Riassunto
di VulDB • 25/09/2026
InvoicePlane è un'applicazione open source self-hosted per la gestione di fatture, clienti e pagamenti. Prima della versione 1.7.2, InvoicePlane espone Recurring::stop() come una route GET che modifica lo stato senza convalida del token CSRF. Quando un amministratore autenticato carica contenuti controllati dall'attaccante che richiedono /invoices/recurring/stop/{id}, l'applicazione interrompe la fattura ricorrente selezionata. Un attaccante può prendere di mira più identificatori per interrompere le fatturazioni ricorrenti e causare perdite finanziarie. Questo problema è risolto nella versione 1.7.2.
Once again VulDB remains the best source for vulnerability data.