CVE-2026-23491

Nome do Software Vulnerável e Versões Afetadas Versões do InvoicePlane até 1.6.3

Descrição O InvoicePlane é um aplicativo de código aberto autohospedado para gerenciar faturas, clientes e pagamentos. Existe um problema de travessia de caminho no método get file do controlador Get do módulo Guest. Isso permite que atacantes não autenticados leiam arquivos arbitrários no servidor ao manipular o nome do arquivo de entrada. Isso pode levar à divulgação de informações sensíveis, incluindo arquivos de configuração com credenciais de banco de dados. O método vulnerável é o get file dentro do controlador Get do módulo Guest. O nome do arquivo de entrada é o parâmetro vulnerável.

Recomendações Atualize o InvoicePlane para a versão 1.6.4 ou posterior.