CVE-2026-42879
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. W wersji 2025.81 i wcześniejszych istnieje uwierzytelniona luka nieograniczonego przesyłania plików w funkcji przesyłania obrazów produktów. Atakujący z ważnymi poświadczeniami może przesłać plik PHP ukryty jako obraz GIF (z nagłówkiem GIF89a), omijając walidację typu MIME; plik jest zapisywany z oryginalnym rozszerzeniem, w tym wykonywalnym .php. Luka występuje w metodzie addImageAction() w Core/Lib/ExtendedController/ProductImagesTrait.php.
Ocena ryzyka
Uwierzytelniony atakujący może przesłać i wykonać złośliwy kod PHP, co prowadzi do przejęcia serwera aplikacji. Ryzyko dotyczy instalacji FacturaScripts w wersji 2025.81 i wcześniejszych.
Rekomendacja
Zaktualizuj FacturaScripts do wersji nowszej niż 2025.81. Dodatkowo wdróż walidację rozszerzeń plików i wyłącz wykonywanie skryptów w katalogu przesyłania obrazów.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-11960Średnie
W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.
- CVE-2026-11959Średnie
W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.
- CVE-2026-104905Wysokie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
- CVE-2026-42878Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. Przed wersją v2026 nieuwierzytelniona luka ujawniania informacji w kontrolerze Installer pozwala zdalnemu atakującemu wywołać phpinfo() na świeżej instalacji poprzez żądanie /?phpinfo=TRUE, ujawniając pełną konfigurację PHP, zmienne środowiskowe serwera (w tym dane dostępowe do bazy, klucze API i sekrety aplikacji), ścieżki systemu plików oraz załadowane rozszerzenia bez uwierzytelnienia.
- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. In 2025.81 and earlier, an authenticated unrestricted file upload vulnerability exists in FacturaScripts' product image upload functionality. An attacker with valid credentials can upload a PHP file disguised as a GIF image (using a GIF89a header), bypassing MIME type validation. The file is stored with its original extension, including executable extensions such as .php. The vulnerability exists the addImageAction() method of Core/Lib/ExtendedController/ProductImagesTrait.php.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS