CVE-2026-83743
ŚrednieCVSS 6.3Streszczenie
Wykryto słabość w Invoice Ninja do wersji 5.13.26. Dotyczy nieznanej części pliku /vedor/profile/ komponentu Vendor Portal Profile Update. Manipulacja argumentem vendor_contact prowadzi do obejścia autoryzacji. Atak może być przeprowadzony zdalnie. Exploit został publicznie udostępniony i może być wykorzystany. Aktualizacja do wersji 5.13.27 łagodzi ten problem. Poprawka nosi nazwę f86fd9697ce7bd0d28adbe2e6c5890780482ea90.
Ocena ryzyka
Obejście autoryzacji może pozwolić atakującemu na nieautoryzowany dostęp do funkcji portalu dostawcy, co może prowadzić do naruszenia danych lub nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj Invoice Ninja do wersji 5.13.27 lub nowszej, aby zastosować poprawkę.
Inne podatności w Invoice Ninja
Zobacz wszystkie- CVE-2026-83744Średnie
Wykryto podatność w Invoice Ninja do wersji 5.13.26. Dotyczy funkcji Purify::isHostSafe w pliku app/Services/Pdf/Purify.php komponentu invoices Endpoint. Manipulacja argumentem notes prowadzi do podatności typu server-side request forgery (SSRF). Atak może być przeprowadzony zdalnie. Exploit został publicznie ujawniony i może być wykorzystany. Producent został poinformowany, ale nie odpowiedział.
- CVE-2026-58450Średnie
Invoice Ninja do wersji 5.13.26 zawiera podatność na otwarte przekierowanie w portalu logowania klienta. Nieuwierzytelniony atakujący może przekierować uwierzytelnioną ofiarę na zewnętrzną, kontrolowaną przez atakującego stronę, wstrzykując złośliwą wartość do parametru zapytania.
- CVE-2025-0474Wysokie
Podatność SSRF w Invoice Ninja umożliwia uwierzytelnionemu atakującemu odczyt dowolnych plików i wysyłanie żądań do zasobów sieciowych jako użytkownik aplikacji. Problem dotyczy wersji od 5.8.56 do 5.11.23.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in invoiceninja Invoice Ninja up to 5.13.26. This affects an unknown part of the file /vedor/profile/ of the component Vendor Portal Profile Update. Executing a manipulation of the argument vendor_contact can lead to authorization bypass. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks. Upgrading to version 5.13.27 is able to mitigate this issue. This patch is called f86fd9697ce7bd0d28adbe2e6c5890780482ea90. The affected component should be upgraded.