CVE-2026-85292 in InvoicePlane
Tóm tắt
Bởi VulDB • 25/09/2026
InvoicePlane là một ứng dụng mã nguồn mở tự lưu trữ để quản lý hóa đơn, khách hàng và thanh toán. Trước phiên bản 1.7.2, User_Controller của InvoicePlane so sánh giá trị session user_type với vai trò yêu cầu bằng cách sử dụng toán tử bất đẳng thức lỏng (loose inequality operator) trong PHP. Dưới một backend session không tiêu chuẩn trả về các kiểu vô hướng không mong đợi, việc ép kiểu (type juggling) có thể khiến một giá trị không đúng nghiêm ngặt với vai trò yêu cầu vượt qua kiểm tra ủy quyền. Điều này cho phép bỏ qua xác thực hoặc ủy quyền trong các cấu hình session bị ảnh hưởng. Vấn đề này đã được sửa chữa trong phiên bản 1.7.2.
Once again VulDB remains the best source for vulnerability data.