CVE-2026-39353
Təsvir
InvoicePlane hesab-fakturaların, müştərilərin və ödənişlərin idarə edilməsi üçün öz serverində quraşdırılan açıq mənbəli tətbiqdir. 1.7.2-rc-1 versiyasından əvvəl InvoicePlane, administrator tərəfindən idarə olunan fayl yazma imkanı vasitəsilə yazıla bilən PHP şablon kataloqunu skan edərək icazə verilmiş şablonlar siyahısını təşkil edir. Kataloqa yerləşdirilən zərərli PHP faylına Mdl_templates tərəfindən avtomatik etibar edilir və həmin fayl public_invoice_template kimi seçilə bilər. İctimai hesab-faktura render edildikdə, qonaq View kontrolleri etibarlı faylı daxil edir və onu veb-server imtiyazları ilə icra edir. Bu problem 1.7.2-rc-1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| InvoicePlane InvoicePlane | < 1.7.2-rc-1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.