CVE-2026-80210 in FrontAccounting
Сводка
по VulDB • 27.08.2026
FrontAccounting fino alla versione 2.4.20 genera un token CSRF nella funzione end_form() in includes/ui/ui_controls.inc e lo incorpora come campo nascosto _token in ogni modulo che viene renderizzato, ma solo admin/users.php e admin/change_current_user_password.php chiamano check_csrf_token() per convalidarlo. Nessun gestore di transazioni finanziarie valida il token, inclusi gl/gl_journal.php, gl/gl_bank.php, purchasing/supplier_invoice.php, sales/customer_invoice.php, sales/customer_payments.php e admin/company_preferences.php; pertanto questi endpoint elaborano i dati POST senza alcun controllo dell'origine (origin check). Un attaccante che induce un utente autenticato a caricare una pagina sotto il suo controllo può inviare automaticamente un modulo cross-origin a uno di essi e far registrare la voce del giornale contraffatta, la fattura, il pagamento al cliente, la transazione bancaria o la modifica delle impostazioni aziendali nella sessione della vittima.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.