Podatności vas3k TaxHacker
3 znanych podatności CVE w vas3k TaxHacker, przetłumaczonych i ocenionych.
- CVE-2026-94039Wysokie
W vas3k TaxHacker do wersji 0.8.5 wykryto podatność typu server-side request forgery w funkcji generateInvoicePDF w pliku /apps/invoices/actions.ts komponentu Invoice PDF Renderer. Manipulacja argumentem businessLogo pozwala na wykonanie żądań po stronie serwera, a atak można przeprowadzić zdalnie. Exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
- CVE-2026-78062Wysokie
W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność polegającą na użyciu twardo zakodowanych poświadczeń w funkcji envSchema.parse pliku lib/config.ts. Manipulacja argumentem BETTER_AUTH_SECRET umożliwia zdalny atak. Projekt został poinformowany o problemie, ale nie odpowiedział.
- CVE-2026-78061Średnie
W produkcie vas3k TaxHacker do wersji 0.8.2 znaleziono podatność na podrabianie żądań po stronie serwera (SSRF) w funkcji buildImapConfig pliku lib/email-sync/imap-client.ts. Manipulacja argumentami host/port umożliwia zdalny atak. Pull request z poprawką oczekuje na akceptację.