CVE-2026-85291
Təsvir
InvoicePlane fakturaların, müştərilərin və ödənişlərin idarə edilməsi üçün özünə məxsus serverdə quraşdırılan açıq mənbəli tətbiqdir. Versiya 1.7.2-dək InvoicePlane-in Users::change_password() metodu URL-dən user_id qəbul edir və obyekt səviyyəsində avtorizasiya yoxlaması aparmadan həmin hesabın şifrəsini yeniləyir. Autentifikasiyadan keçmiş ikincili administrator cari şifrəni bilmədən əsas administrator hesabını hədəf ala və onun şifrəsini dəyişə bilər. Hücumçu daha sonra əsas hesabı ələ keçirib onun məlumatlarına və imtiyazlarına giriş əldə edə bilər. Bu problem 1.7.2 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| InvoicePlane InvoicePlane | < 1.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.