CVE-2026-85291 in InvoicePlane
Sumário
de VulDB • 25/09/2026
O InvoicePlane é uma aplicação open source auto-hospedada para gerir faturas, clientes e pagamentos. Antes da versão 1.7.2, o método Users::change_password() do InvoicePlane aceita um user_id proveniente da URL e atualiza a palavra-passe dessa conta sem efetuar uma verificação de autorização ao nível do objeto. Um administrador secundário autenticado pode direcionar-se para a conta do administrador principal e substituir a sua palavra-passe sem conhecer a palavra-passe atual. O atacante pode, assim, assumir o controlo da conta principal e aceder aos seus dados e privilégios. Este problema está resolvido na versão 1.7.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.