CVE-2026-50547

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versões anteriores a 1.7.2

Description A função Invoices::generate xml() anexa um xml id derivado do banco de dados ao diretório auxiliar XMLconfigs e inclui o caminho PHP resultante sem a validação adequada do identificador. Um invasor com baixos privilégios que consiga influenciar a configuração de faturamento eletrônico pode utilizar sequências de traversal para realizar a inclusão local de arquivos, permitindo a inclusão de arquivos PHP existentes. A execução de código remoto exigiria um primitivo adicional de upload ou gravação de arquivo.

Recommendations Atualize para a versão 1.7.2.