CVE-2026-100371

InvoicePlane hesab-fakturaların, müştərilərin və ödənişlərin idarə edilməsi üçün öz serverində quraşdırılan açıq mənbəli tətbiqdir. Versiya 1.7.2-də, köməkçi administratora (user_type=1, user_id != 1) users/change_password/{id} vasitəsilə əsas administratorun (user_id=1) şifrəsini birbaşa dəyişməyə imkan verən əvvəlki avtorizasiya çatışmazlığını aradan qaldırmaq üçün Users::change_password() funksiyasına avtorizasiya qoruyucusu əlavə edilmişdir. Lakin bu düzəliş yalnız birbaşa şifrə dəyişdirmə əməliyyatını qoruyur. O, şifrənin bərpası zamanı etibar edilən identifikasiya atributunu — user_email-i qorumur. Users::form() əsas administratorun hesabı redaktə edilərkən ekvivalent obyekt səviyyəli avtorizasiya yoxlamasını tətbiq etmir və user_email PROTECTED_FIELDS siyahısına daxil edilməmişdir. Buna görə də, köməkçi administrator əsas administratorun e-poçt ünvanını dəyişə bilər və daha sonra hesabı user_email vasitəsilə təyin edən ictimai şifrə bərpası prosesindən istifadə edərək sıfırlama tokenini əldə edib user_id=1 hesabını ələ keçirə bilər. Nəticədə, PR #1638 ilə qarşısını almaq istənilən təsirə səbəb olan alternativ hücum yolu yaranır: administratorlar arasında əsas administratorun tam hesabının ələ keçirilməsi. Bu problem 8616fa4 commit-i vasitəsilə aradan qaldırılmışdır.