CVE-2026-94039
WysokieCVSS 7.3Streszczenie
W vas3k TaxHacker do wersji 0.8.5 wykryto podatność typu server-side request forgery w funkcji generateInvoicePDF w pliku /apps/invoices/actions.ts komponentu Invoice PDF Renderer. Manipulacja argumentem businessLogo pozwala na wykonanie żądań po stronie serwera, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Ocena ryzyka
Atakujący może wymusić na serwerze żądania do dowolnych zasobów wewnętrznych lub zewnętrznych, co może prowadzić do ujawnienia informacji lub interakcji z usługami wewnętrznymi. Publiczna dostępność exploitu zwiększa ryzyko wykorzystania.
Rekomendacja
Należy ograniczyć możliwość manipulacji argumentem businessLogo, wdrożyć walidację adresów URL i rozważyć aktualizację lub obejście problemu do czasu wydania poprawki przez projekt.
Inne podatności w vas3k TaxHacker
Zobacz wszystkie- CVE-2026-78062Wysokie
W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność polegającą na użyciu twardo zakodowanych poświadczeń w funkcji envSchema.parse pliku lib/config.ts. Manipulacja argumentem BETTER_AUTH_SECRET umożliwia zdalny atak. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-78061Średnie
W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji buildImapConfig pliku lib/email-sync/imap-client.ts. Manipulacja argumentami host/port umożliwia zdalny atak. Pull request z poprawką oczekuje na akceptację.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was detected in vas3k TaxHacker up to 0.8.5. Affected is the function generateInvoicePDF of the file /apps/invoices/actions.ts of the component Invoice PDF Renderer. Performing a manipulation of the argument businessLogo results in server-side request forgery. The attack is possible to be carried out remotely. The exploit is now public and may be used. The project was informed of the problem early through an issue report but has not responded yet.