CVE-2026-11994
ŚrednieCVSS 4.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Akaunting w wersji 3.1.21 zawiera podatność na uwierzytelnione przechowywane ataki typu Cross-Site Scripting w procesie zarządzania raportami. Użytkownik z uprawnieniami do tworzenia lub aktualizacji raportów może przechowywać dowolny kod HTML/JavaScript w polu opisu raportu.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do wstrzyknięcia złośliwego kodu, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. To stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Akaunting, aby usunąć tę podatność. Dodatkowo, warto wprowadzić walidację i sanitizację danych wprowadzanych przez użytkowników w polu opisu raportu.
Inne podatności w Akaunting 3.1.21
Zobacz wszystkie- CVE-2026-19198Wysokie
Akaunting 3.1.21 zawiera uwierzytelnioną podatność nieprawidłowej autoryzacji w wspólnym dyspozytorze BulkActions.
- CVE-2026-16772Wysokie
W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu `UpdateUser`, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie `roles()->sync()` bez weryfikacji, czy wywołujący jest uprawniony do zarządzania rolami. Użytkownicy potrzebują tylko domyślnego uprawnienia `update-auth-profile`, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. Punkty końcowe API są odpowiednio zabezpieczone i nie są dotknięte tym problemem.
- CVE-2026-71251Średnie
W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.
- CVE-2026-11943Średnie
Akaunting w wersji 3.1.21 zawiera podatność na przechowywane ataki XSS w dokumentach na stronach szczegółowych faktur i rachunków. Użytkownik z autoryzacją może zapisać kod HTML/JavaScript w swoim imieniu profilu.
- CVE-2026-11942Średnie
Akaunting 3.1.21 zawiera podatność na uwierzytelnione, przechowywane ataki typu cross-site scripting w procesie potwierdzania usunięcia. Użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów, takich jak przedmioty, może przechowywać HTML/JavaScript w nazwie rekordu.
- CVE-2026-8193Średnie
W Akaunting 3.1.21 zidentyfikowano słabość w komponencie Invoice PDF Rendering w pliku config/dompdf.php. Manipulacja może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.
- CVE-2026-5568Niskie
W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.
Oryginalny opis (angielski, źródło NVD)
Akaunting 3.1.21 contains an authenticated stored Cross-Site Scripting vulnerability in the report management workflow. A user with permission to create or update reports can store arbitrary HTML/JavaScript in the description field of a report.