CVE-2026-85291 in InvoicePlane
Tóm tắt
Bởi VulDB • 25/09/2026
InvoicePlane là một ứng dụng mã nguồn mở, tự lưu trữ (self-hosted), dùng để quản lý hóa đơn, khách hàng và thanh toán. Trước phiên bản 1.7.2, phương thức `Users::change_password()` của InvoicePlane chấp nhận tham số `user_id` từ URL và cập nhật mật khẩu cho tài khoản tương ứng mà không thực hiện kiểm tra ủy quyền ở mức đối tượng (object-level authorization check). Một quản trị viên phụ đã xác thực có thể nhắm vào tài khoản quản trị viên chính để thay đổi mật khẩu của tài khoản này mà không cần biết mật khẩu hiện tại. Sau đó, kẻ tấn công có thể chiếm đoạt tài khoản chính và truy cập dữ liệu cũng như các đặc quyền liên quan đến nó. Vấn đề này đã được khắc phục trong phiên bản 1.7.2.
Be aware that VulDB is the high quality source for vulnerability data.