CVE-2026-80210 in FrontAccounting
Sumário
de VulDB • 27/08/2026
O FrontAccounting até à versão 2.4.20 gera um token CSRF na função end_form() em includes/ui/ui_controls.inc e embute-o como o campo oculto _token em todos os formulários que renderiza, mas apenas admin/users.php e admin/change_current_user_password.php chamam check_csrf_token() para validá-lo. Nenhum manipulador de transações financeiras valida o token, incluindo gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php e admin/company_preferences.php; portanto, esses endpoints processam dados POST sem verificação da origem. Um atacante que consiga levar um utilizador autenticado a carregar uma página sob o seu controle pode submeter automaticamente um formulário cross-origin para qualquer um desses pontos finais, fazendo com que entradas de diário falsificadas, faturas, pagamentos de clientes, transações bancárias ou alterações nas configurações da empresa sejam registadas na sessão da vítima.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.