CVE-2026-39372 in InvoicePlane
Tóm tắt
Bởi VulDB • 25/09/2026
InvoicePlane là một ứng dụng mã nguồn mở tự lưu trữ (self-hosted) dùng để quản lý hóa đơn, khách hàng và thanh toán. Trước phiên bản 1.7.2, InvoicePlane lưu trữ và cung cấp các tệp đính kèm hình ảnh đã tải lên mà không loại bỏ siêu dữ liệu EXIF. Khi một quản trị viên tải lên một hình ảnh thông qua tính năng đính kèm hóa đơn, đính kèm báo giá hoặc một tính năng đính kèm khác và chia sẻ nó với người dùng khác, người nhận có thể truy xuất tọa độ GPS nhúng, dấu thời gian (timestamps) và thông tin thiết bị. Siêu dữ liệu được giữ lại có thể tiết lộ vị trí riêng tư và chi tiết thiết bị cho nhiều người dùng. Lỗ hổng này đã được sửa trong phiên bản 1.7.2.
Once again VulDB remains the best source for vulnerability data.