CVE-2026-39353

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versões anteriores a 1.7.2-rc-1

Description O InvoicePlane constrói sua lista de modelos permitidos verificando um diretório de modelos PHP que pode ser gravado por meio de uma capacidade de gravação de arquivos controlada pelo administrador. Um arquivo PHP malicioso colocado nesse diretório é automaticamente confiado por Mdl templates e pode ser selecionado como public invoice template. Quando uma fatura pública é renderizada, o controlador de visualização de convidado inclui e executa o arquivo confiável com privilégios do servidor web.

Recommendations Atualize para a versão 1.7.2-rc-1.