CVE-2026-104905

Nome do Software Vulnerável e Versões Afetadas FacturaScripts versões anteriores a 2026.7

Description Um invasor autenticado pode explorar um problema de injeção de objeto PHP na função processFormData() de WidgetSelect. Isso ocorre porque a aplicação executa unserialize() em dados POST brutos para campos de seleção múltipla sem aplicar um filtro allowed classes. Ao enviar um objeto XLSXWriter serializado como valor de campo, um invasor pode acionar o método destruct() para excluir arquivos arbitrários, como config.php ou dados de backup. Isso pode resultar em negação de serviço ou em um potencial sequestro de reinstalação da aplicação.

Recommendations Atualize o FacturaScripts para a versão 2026.7 ou posterior.