CVE-2026-32699
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej zmiany nazw użytkowników, co może prowadzić do przejęcia kont lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację FacturaScripts do najnowszej wersji, która zawiera poprawkę walidacji parametru 'nick'.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. In versions 2025.92 and earlier, the application fails to validate the nick parameter during a POST request to the EditUser controller. Although the user interface prevents editing this field, a user can bypass this restriction by intercepting the request and modifying the nick form-data parameter to rename any account, including the administrator account. This leads to unauthorized modification of a field intended to be immutable.