CVE-2026-85293 in InvoicePlane
Tóm tắt
Bởi VulDB • 25/09/2026
InvoicePlane là một ứng dụng mã nguồn mở, tự lưu trữ (self-hosted), dùng để quản lý hóa đơn, khách hàng và thanh toán. Trong phiên bản 1.7.2-beta-1, InvoicePlane lưu trữ các giá trị client_email mà không thực thi kiểm tra cú pháp email, đồng thời hiển thị chúng dưới dạng chưa được thoát (unescaped) bên trong các thuộc tính giá trị được bao quanh bởi dấu ngoặc kép ("") trên form gửi mail hóa đơn và form gửi báo giá. Một quản trị viên có quyền chỉnh sửa khách hàng có thể lưu trữ đầu vào phá vỡ cấu trúc thuộc tính, và khi trình gửi thư (mailer) đã được định cấu hình, mã JavaScript sẽ thực thi khi một quản trị viên khác đã xác thực truy cập trang liên quan của trình gửi thư đó. Script này chạy trong ngữ cảnh gốc (origin) của InvoicePlane và có thể thực hiện các hành động cùng nguồn gốc (same-origin actions) với phiên làm việc của nạn nhân. Vấn đề này đã được khắc phục trong phiên bản 1.7.2.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.