CVE-2026-19198

Akaunting przed wersją 2.1.31 zawiera podatność na wstrzykiwanie komend systemu operacyjnego w procesie instalacji i aktualizacji modułów, gdzie parametr alias jest przekazywany bez walidacji do wykonania poleceń powłoki. Uwierzytelnieni użytkownicy z dostępem do panelu administracyjnego mogą wstrzyknąć metaznaki powłoki do parametru alias, aby wykonać dowolne komendy na serwerze.

W Akaunting w wersjach do 3.1.21 uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą zmodyfikować swoje konto, przypisując sobie identyfikator roli administratora, co daje pełne uprawnienia administratora. Podatność wynika z błędu w zadaniu UpdateUser, które przetwarza przypisania ról dostarczane przez użytkownika poprzez bezwarunkowe wywołanie roles()->sync() bez weryfikacji uprawnień. Użytkownicy potrzebują tylko domyślnego uprawnienia update-auth-profile, aby uzyskać dostęp do ścieżki samodzielnej aktualizacji i przypisać sobie rolę administratora. API są odpowiednio zabezpieczone i nie są dotknięte. Podatność została naprawiona w wersji 3.2.0.

W Akauntingu trasa pobierania plików (uploads/{id}/download) nie weryfikuje, czy żądany plik należy do firmy zalogowanego klienta. Uwierzytelniony klient portalu może pobrać pliki innych firm, zgadując lub enumerując identyfikatory mediów.

Akaunting w wersji 3.1.21 zawiera podatność na uwierzytelnione przechowywane ataki typu Cross-Site Scripting w procesie zarządzania raportami. Użytkownik z uprawnieniami do tworzenia lub aktualizacji raportów może przechowywać dowolny kod HTML/JavaScript w polu opisu raportu.

Akaunting w wersji 3.1.21 zawiera podatność na przechowywane ataki XSS w dokumentach na stronach szczegółowych faktur i rachunków. Użytkownik z autoryzacją może zapisać kod HTML/JavaScript w swoim imieniu profilu.

Akaunting 3.1.21 zawiera podatność na uwierzytelnione, przechowywane ataki typu cross-site scripting w procesie potwierdzania usunięcia. Użytkownik z uprawnieniami do tworzenia lub modyfikowania rekordów, takich jak przedmioty, może przechowywać HTML/JavaScript w nazwie rekordu.

W Akaunting 3.1.21 zidentyfikowano słabość w komponencie Invoice PDF Rendering w pliku config/dompdf.php. Manipulacja może prowadzić do podrobienia żądania po stronie serwera (SSRF). Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Producent nie odpowiedział na zgłoszenie.

W Akaunting do wersji 3.1.21 wykryto podatność XSS w komponencie Invoice/Billing poprzez manipulację argumentem notes. Atak może być przeprowadzony zdalnie. Exploit jest publicznie dostępny. Producent nie odpowiedział na zgłoszenie.