CVE-2026-85293

Nome do Software Vulnerável e Versões Afetadas InvoicePlane versão 1.7.2-beta-1

Description O InvoicePlane não valida a sintaxe de e-mail para os valores de client email e os renderiza sem escape dentro de atributos de valor entre aspas duplas nos formulários de envio de faturas e orçamentos. Isso permite que um administrador armazene entradas que quebram atributos, executando JavaScript quando outro administrador autenticado abre a página de envio relacionada. O script opera na origem do InvoicePlane, permitindo ações de mesma origem utilizando a sessão da vítima.

Recommendations Atualize o InvoicePlane para a versão 1.7.2.