CVE-2026-33639

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versões anteriores a 1.7.2

Description O InvoicePlane não realiza a validação rigorosa de número inteiro na configuração tax rate decimal places, controlada pelo administrador. Este valor é interpolado em uma instrução ALTER TABLE para a tabela ip tax rates dentro da função Settings::index(). Um invasor com privilégios de administrador pode fornecer um valor de configuração manipulado para injetar cláusulas na instrução de alteração de esquema, permitindo a remoção ou alteração de colunas essenciais do banco de dados. Isso pode resultar na corrupção permanente das estruturas de dados financeiros e tornar a aplicação indisponível.

Recommendations Atualizar para a versão 1.7.2.