CVE-2026-104905
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia krytycznych plików konfiguracyjnych i danych, co może spowodować niedostępność systemu oraz umożliwić atakującemu przejęcie kontroli nad procesem reinstalacji aplikacji.
Rekomendacja
Zaleca się natychmiastową aktualizację FacturaScripts do wersji 2026.7 lub nowszej oraz ograniczenie dostępu do funkcji przetwarzania danych POST dla uwierzytelnionych użytkowników.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts before version 2026.7 contains a PHP object injection vulnerability in WidgetSelect::processFormData() that allows authenticated attackers to trigger unserialize() on raw POST data without an allowed_classes filter for multiple-select fields. Attackers can submit a serialized XLSXWriter object as the field value to invoke its __destruct() method, deleting arbitrary attacker-specified files such as config.php or backup data, resulting in denial of service and potential application reinstall hijack.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS