CVE-2026-39353 in InvoicePlane
要約
〜によって VulDB • 2026年09月25日
InvoicePlaneは、請求書、顧客、および支払いを管理するための自己ホスト型オープンソースアプリケーションです。バージョン1.7.2-rc-1より前では、InvoicePlaneは管理者が制御できるファイル書き込み機能を通じてアクセス可能なPHPテンプレートディレクトリをスキャンすることで、許可されたテンプレートのリストを作成していました。このディレクトリに配置された悪意のあるPHPファイルはMdl_templatesによって自動的に信頼され、public_invoice_templateとして選択できます。公開請求書がレンダリングされると、ゲストのViewコントローラはその信頼されたファイルを含め、Webサーバー権限でそれを実行します。この問題はバージョン1.7.2-rc-1で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.