CVE-2026-27891
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 41 - wyżej niż 41% wszystkich znanych CVE
Streszczenie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
Ocena ryzyka
Atakujący może zdalnie nadpisać dowolne pliki na serwerze, co może prowadzić do całkowitego przejęcia kontroli nad aplikacją i serwerem.
Rekomendacja
Zaktualizuj FacturaScripts do wersji 2026.1 lub nowszej.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-11960Średnie
W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.
- CVE-2026-11959Średnie
W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.
- CVE-2026-104905Wysokie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
- CVE-2026-42879Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. W wersji 2025.81 i wcześniejszych istnieje uwierzytelniona luka nieograniczonego przesyłania plików w funkcji przesyłania obrazów produktów. Atakujący z ważnymi poświadczeniami może przesłać plik PHP ukryty jako obraz GIF (z nagłówkiem GIF89a), omijając walidację typu MIME; plik jest zapisywany z oryginalnym rozszerzeniem, w tym wykonywalnym .php. Luka występuje w metodzie addImageAction() w Core/Lib/ExtendedController/ProductImagesTrait.php.
- CVE-2026-42878Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. Przed wersją v2026 nieuwierzytelniona luka ujawniania informacji w kontrolerze Installer pozwala zdalnemu atakującemu wywołać phpinfo() na świeżej instalacji poprzez żądanie /?phpinfo=TRUE, ujawniając pełną konfigurację PHP, zmienne środowiskowe serwera (w tym dane dostępowe do bazy, klucze API i sekrety aplikacji), ścieżki systemu plików oraz załadowane rozszerzenia bez uwierzytelnienia.
- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. Versions 2026 and below contain a critical vulnerability in the Plugins::add() function. The system fails to properly validate the file paths within uploaded ZIP archives. This allows an attacker to perform a Zip Slip attack, leading to Arbitrary File Write and Remote Code Execution (RCE) by overwriting sensitive .php files outside the designated plugins directory. The vulnerability is located in Plugins.php. While the testZipFile function attempts to validate that the ZIP contains only one root folder, it does not sanitize or validate the individual file paths within that folder. An attacker can bypass this check by naming a file ValidPluginName/../../shell.php. The explode function will see ValidPluginName as the root folder, satisfying the count($folders) != 1 check. However, during extraction, the ../../ sequence triggers a path traversal, allowing the file to be written anywhere the web server has permissions the root directory. This issue is fixed in version 2026.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS