CVE-2026-27964
NiskieCVSS 3.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w przeglądarce ofiary, co może prowadzić do kradzieży sesji, przekierowań lub kradzieży danych.
Rekomendacja
Zaktualizuj FacturaScripts do wersji 2025.8 lub nowszej. Wdróż mechanizmy sanityzacji danych wyjściowych dla wszystkich danych pochodzących z ciasteczek.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-104905Wysokie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. Versions 2025.7 and prior contain a Reflected Cross-Site Scripting (XSS) vulnerability through the fsNick cookie parameter. The application reflects the cookie's value directly into the HTML without sanitization. The fsNick cookie is rendered into the DOM without encoding. While the server does reject the modified session and forces a logout, the HTML containing the payload reaches the browser first. This lets the script execute immediately upon load, effectively beating the redirect. This issue has been fixed in version 2025.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS