Katalog CVE
CVE-2025-67084
KrytyczneStreszczenie
InvoicePlane do wersji 1.6.3 zawiera podatność na przesyłanie plików, która pozwala uwierzytelnionym atakującym na przesyłanie dowolnych plików PHP do załączników, które mogą być później zdalnie wykonane, prowadząc do zdalnego wykonania kodu (RCE).
Ocena ryzyka
Uwierzytelniony atakujący może wykonać dowolny kod na serwerze, co może prowadzić do przejęcia systemu i naruszenia danych.
Rekomendacja
Zaleca się aktualizację InvoicePlane do najnowszej wersji oraz ograniczenie typów dozwolonych plików w załącznikach.
Oryginalny opis (angielski, źródło NVD)
File upload vulnerability in InvoicePlane through 1.6.3 allows authenticated attackers to upload arbitrary PHP files into attachments, which can later be executed remotely, leading to Remote Code Execution (RCE).