CVE-2026-32699
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej zmiany nazw użytkowników, co może prowadzić do przejęcia kont lub eskalacji uprawnień.
Rekomendacja
Zaleca się aktualizację FacturaScripts do najnowszej wersji, która zawiera poprawkę walidacji parametru 'nick'.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. In versions 2025.92 and earlier, the application fails to validate the nick parameter during a POST request to the EditUser controller. Although the user interface prevents editing this field, a user can bypass this restriction by intercepting the request and modifying the nick form-data parameter to rename any account, including the administrator account. This leads to unauthorized modification of a field intended to be immutable.