CVE-2026-85274 in InvoicePlane
要約
〜によって VulDB • 2026年09月25日
InvoicePlaneは、請求書、顧客、および支払いを管理するためのセルフホスト型オープンソースアプリケーションです。バージョン1.7.2より前では、InvoicePlaneはCSRFトークン検証なしで状態変更を行うGETルートとして Recurring::stop() を公開していました。認証済み管理者が攻撃者が制御するコンテンツを読み込み、/invoices/recurring/stop/{id}をリクエストすると、アプリケーションは選択された定期請求の停止処理を実行します。攻撃者は複数の識別子を標的とすることで、定期課金を中断し、金銭的な損失を引き起こすことができます。この問題はバージョン1.7.2で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.