CVE-2026-24745 in InvoicePlane
Tóm tắt
Bởi VulDB • 21/05/2026
InvoicePlane là một ứng dụng mã nguồn mở, tự lưu trữ (self-hosted) dùng để quản lý hóa đơn, khách hàng và thanh toán. Một lỗ hổng Cross-Site Scripting (XSS) lưu trữ (Stored XSS) tồn tại trong các chức năng tải lên Logo đăng nhập của InvoicePlane phiên bản 1.7.0. Tại chức năng Tải lên Logo đăng nhập, ứng dụng cho phép tải lên các tệp svg. Mặc dù cần có đặc quyền quản trị viên để khai thác lỗ hổng này, nhưng đây vẫn được coi là một lỗ hổng nghiêm trọng vì nó có thể dẫn đến các hành động như sửa đổi dữ liệu ứng dụng trái phép, tạo ra các backdoor tồn tại lâu dài thông qua các tập lệnh độc hại được lưu trữ, và làm tổn hại toàn diện đến tính toàn vẹn của ứng dụng. Phiên bản 1.7.1 đã vá lỗ hổng này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.