CVE-2026-27892
Açıklama
FacturaScripts açık kaynaklı bir muhasebe ve faturalandırma yazılımıdır. 2026 öncesindeki sürümlerde, Library modülü yüklenen görüntüleri EXIF/XMP/IPTC meta verilerini temizlemeden bayt bazında saklar ve sunar. Görüntüyü indiren herhangi bir kimliği doğrulanmış kullanıcı; GPS koordinatları, cihaz bilgileri, zaman damgaları, gömülü yorumlar/notlar, küçük resim önizlemeleri ve görüntü meta verilerinde korunan diğer kişisel olarak tanımlanabilir bilgileri (PII) içeren yükleyicinin gömülü meta verilerini çıkarabilir. Tüm FacturaScripts görüntü yükleme özellikleri arasında yalnızca Library modülü; kısıtlanmamış yüklemeleri, kalıcı depolamayı, kimliği doğrulanmış indirme erişimini ve sunucu tarafında meta veri temizliğinin tamamen eksikliğini bir araya getirmiştir. Bu güvenlik açığı gerçek dünyada önemli bir etkiye sahiptir: evinde çekilen bir fotoğrafı yükleyen bir çalışan, ev adresini istemeden Library indirme erişimine sahip her kullanıcıya ifşa eder. Bu sorun 2026 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- facturascripts/facturascripts2026 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| facturascripts/facturascriptsPackagist | v ≤ 2025.81, v < 2026 | 2026 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.