CVE-2026-54790
Açıklama
InvoicePlane; faturaları, müşterileri ve ödemeleri yönetmek için kullanılan, kendi sunucunuzda barındırabileceğiniz açık kaynaklı bir uygulamadır. 1.7.2 sürümünden önce InvoicePlane, yönetici tarafından kontrol edilen bir custom_field_table değerini, izin verilen özel alan tablo adlarına karşı doğrulamadan saklamaktadır. Mdl_custom_fields::used() fonksiyonu daha sonra bu saklanan değeri FROM tablosuna ve WHERE sütun tanımlayıcı konumlarına eklediğinden, özel alan düzenleme formunun açılması ikinci derece bir SQL enjeksiyonu çalıştırır. Bu enjeksiyon, rastgele şema verilerini sorgulayabilir ve uygulama hatalarına veya hizmet reddine neden olabilir. Bu sorun 1.7.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| InvoicePlane InvoicePlane | < 1.7.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.