CVE-2026-61608
ŚrednieCVSS 6.8Streszczenie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 encje `UserInvitation` nie mają znacznika wygaśnięcia. Linki zaproszeń wysyłane do użytkowników pozostają ważne bezterminowo, co oznacza, że wyciekły, przekazany lub zarchiwizowany e-mail z zaproszeniem może być użyty w dowolnym momencie w przyszłości do dołączenia do firmy lub cichego dodania skompromitowanego konta e-mail do firmy. Wersja 3.0.1 naprawia ten problem.
Ocena ryzyka
Bezterminowa ważność zaproszeń może umożliwić atakującemu wykorzystanie przechwyconego zaproszenia do uzyskania nieautoryzowanego dostępu do firmowych zasobów, co może prowadzić do naruszenia bezpieczeństwa.
Rekomendacja
Zaleca się natychmiastową aktualizację SolidInvoice do wersji 3.0.1 lub nowszej. Należy również unieważnić wszystkie istniejące zaproszenia i rozważyć wprowadzenie polityki wygasania zaproszeń.
Inne podatności w SolidInvoice
Zobacz wszystkie- CVE-2026-61688Średnie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 uwierzytelniony użytkownik może przeglądać historię żądań API tokenów innych użytkowników w tej samej firmie, manipulując dwoma zapisywalnymi właściwościami komponentu Symfony UX LiveComponent `DataGrid`. Wersja 3.0.1 naprawia ten problem.
- CVE-2026-61686Wysokie
SolidInvoice przed wersją 3.0.1 zawiera podatność na deserializację danych dostarczanych przez klienta w komponencie DataGrid LiveComponent. Atakujący z uwierzytelnieniem może wysłać złośliwy ładunek PHP, co może prowadzić do nieautoryzowanego wykonania kodu.
- CVE-2026-61614Średnie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1, uwierzytelniacz REST API akceptuje tokeny bearer przez parametr zapytania `?token=` jako alternatywę dla nagłówka `X-API-TOKEN`. Powoduje to zapisywanie długotrwałych poświadczeń API w logach serwera, logach proxy, historii przeglądarki i nagłówkach HTTP Referer wysyłanych do zewnętrznych stron. Wersja 3.0.1 naprawia ten problem.
- CVE-2026-46622Wysokie
SolidInvoice to platforma do wystawiania faktur typu open-source. W wersjach przed 2.3.17, tokeny API używane do uwierzytelniania wszystkich żądań REST API były przechowywane jako tekst jawny w tabeli api_tokens w bazie danych.
- CVE-2026-46489Wysokie
SolidInvoice to platforma do fakturowania typu open-source. W wersjach przed 2.3.17 funkcja przesyłania logo firmy akceptowała dowolny typ pliku bez walidacji, co pozwalało na przesyłanie plików SVG z osadzonym JavaScript.
Oryginalny opis (angielski, źródło NVD)
SolidInvoice is an open-source invoicing platform. Prior to version 3.0.1, `UserInvitation` entities have no expiry timestamp. Invitation links mailed to users remain valid indefinitely, meaning a leaked, forwarded, or archived invitation email can be used at any time in the future to join a company or silently add a compromised email account to a company. Version 3.0.1 fixes the issue.