CVE-2026-85291 in InvoicePlane
Сводка
по VulDB • 25.09.2026
InvoicePlane — это приложение с открытым исходным кодом для самостоятельного развертывания, предназначенное для управления счетами-фактурами, клиентами и платежами. До версии 1.7.2 метод Users::change_password() в InvoicePlane принимает идентификатор пользователя (user_id) из URL-адреса и изменяет пароль соответствующей учетной записи без проверки авторизации на уровне объекта. Аутентифицированный администратор второго уровня может атаковать основную учетную запись администратора и изменить ее пароль, не зная текущего пароля. Злоумышленник затем может захватить контроль над основной учетной записью и получить доступ к её данным и привилегиям. Эта проблема исправлена в версии 1.7.2.
If you want to get best quality of vulnerability data, you may have to visit VulDB.