Към съдържанието
Търсене

CVE-2026-85274: InvoicePlane, CSRF

6.5

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и след действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

InvoicePlane is a self-hosted open source application for managing invoices, clients, and payments. Prior to 1.7.2, InvoicePlane exposes Recurring::stop() as a state-changing GET route without CSRF token validation. When an authenticated administrator loads attacker-controlled content that requests /invoices/recurring/stop/{id}, the application stops the selected recurring invoice. An attacker can target multiple identifiers to interrupt recurring billing and cause financial loss. This issue is fixed in version 1.7.2.

Засегнати продукти

  • InvoicePlane InvoicePlane: < 1.7.2

Вид слабост

История

  • 25 септември 2026 Публикувано

Други уязвимости в InvoicePlane InvoicePlane

Първоизточници

CVE-2026-85274: InvoicePlane, CSRF | freedomonline.bg