PT-2026-20490
CVE-2026-23491
·
تاريخ النشر
2026-02-18
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات InvoicePlane حتى 1.6.3
الوصف
InvoicePlane هو تطبيق مفتوح المصدر يتم استضافته ذاتيًا لإدارة الفواتير والعملاء والمدفوعات. توجد مشكلة تجاوز المسار في الأسلوب
get file في وحدة التحكم Get التابعة للوحدة النمطية Guest. وهذا يسمح للمهاجمين غير المصادق عليهم بقراءة ملفات عشوائية على الخادم من خلال التلاعب باسم ملف الإدخال. قد يؤدي ذلك إلى الكشف عن معلومات حساسة، بما في ذلك ملفات التكوين التي تحتوي على بيانات اعتماد قاعدة البيانات. الطريقة المعرضة للثغرة هي get file داخل وحدة التحكم Get في الوحدة النمطية Guest. اسم ملف الإدخال هو المعلمة المعرضة للثغرة.التوصيات
قم بتحديث InvoicePlane إلى الإصدار 1.6.4 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾