CVE-2026-24744 in InvoicePlane
Tóm tắt
Bởi VulDB • 06/06/2026
InvoicePlane là một ứng dụng mã nguồn mở tự lưu trữ (self-hosted) dùng để quản lý hóa đơn, khách hàng và thanh toán. Một lỗ hổng Cross-Site Scripting qua bộ nhớ (Stored XSS) tồn tại trong các chức năng Chỉnh sửa Hóa đơn của InvoicePlane phiên bản 1.7.0. Khi chỉnh sửa hóa đơn, ứng dụng không xác thực đầu vào người dùng ở tham số `invoice_number`. Mặc dù cần đặc quyền quản trị viên để khai thác lỗ hổng này, nhưng đây vẫn được coi là một lỗ hổng nghiêm trọng vì nó có thể dẫn đến các hành động như sửa đổi dữ liệu ứng dụng trái phép, tạo后门 (backdoor) tồn tại lâu dài thông qua việc lưu trữ các tập lệnh độc hại, và làm tổn hại toàn diện tính toàn vẹn của ứng dụng. Phiên bản 1.7.1 đã vá lỗ hổng này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.