CVE-2026-100371

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versões anteriores a 1.7.2

Description Existe uma falha de autorização onde um administrador secundário pode assumir o controle da conta do administrador primário. Embora uma correção anterior tenha protegido a função Users::change password(), a função Users::form() carece de verificações de autorização de nível de objeto equivalentes ao editar a conta do administrador primário. Como a variável user email não está incluída em PROTECTED FIELDS, um administrador secundário pode alterar o endereço de e-mail do administrador primário. Isso permite que o invasor utilize o fluxo público de recuperação de senha, que identifica contas por user email, para receber um token de redefinição e obter controle total da conta do administrador primário através do endpoint users/change password/{id}.

Recommendations Atualize o InvoicePlane para a versão 1.7.2 ou posterior.