CVE-2026-33639 in InvoicePlane
Tóm tắt
Bởi VulDB • 28/09/2026
InvoicePlane là một ứng dụng mã nguồn mở, tự lưu trữ (self-hosted), dùng để quản lý hóa đơn, khách hàng và thanh toán. Trước phiên bản 1.7.2, InvoicePlane nội suy cài đặt `tax_rate_decimal_places` do người dùng có quyền quản trị viên kiểm soát vào câu lệnh ALTER TABLE cho bảng ip_tax_rates trong hàm Settings::index() mà không thực hiện xác thực số nguyên nghiêm ngặt. Một giá trị cài đặt được tạo ra đặc biệt (crafted) có thể thêm các mệnh đề vào câu lệnh thay đổi lược đồ cơ sở dữ liệu, từ đó xóa hoặc sửa đổi các cột bắt buộc của cơ sở dữ liệu. Sự hỏng hóc về lược đồ này có thể làm biến đổi vĩnh viễn các cấu trúc dữ liệu tài chính và khiến ứng dụng không khả dụng. Lỗ hổng này đã được khắc phục trong phiên bản 1.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.