CVE-2026-85293
Təsvir
InvoicePlane fakturaların, müştərilərin və ödənişlərin idarə edilməsi üçün özünə məxsus serverdə quraşdırılan açıq mənbəli tətbiqdir. Versiya 1.7.2-beta-1-də InvoicePlane, e-poçt sintaksisini yoxlamadan client_email dəyərlərini saxlayır və onları faktura poçt göndərmə formasında və kotirovka poçt göndərmə formasında qoşa dırnaqla əhatə olunmuş dəyər atributları daxilində filtrləmədən təqdim edir. Müştəri məlumatlarını redaktə edə bilən administrator atributu pozan giriş məlumatları daxil edə bilər və poçt göndərmə sistemi konfiqurasiya edildikdə, digər autentifikasiya olunmuş administrator müvafiq poçt göndərmə səhifəsini açdıqda JavaScript kodu icra olunur. Skript InvoicePlane mənşəyində işləyir və qurbanın sessiyası ilə eyni mənşəli (same-origin) hərəkətləri yerinə yetirə bilər. Bu problem versiya 1.7.2-də düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| InvoicePlane InvoicePlane | < 1.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.