CVE-2026-11960
ŚrednieCVSS 6.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.
Ocena ryzyka
Atakujący może zebrać listę prawidłowych kont użytkowników i wykorzystać ją do ataków brute-force, password spraying, credential stuffing lub inżynierii społecznej.
Rekomendacja
Zaktualizuj FacturaScripts do wersji zawierającej poprawkę ujednolicającą odpowiedzi logowania i wdróż mechanizmy ograniczające próby logowania.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-11959Średnie
W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.
- CVE-2026-104905Wysokie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
- CVE-2026-42879Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. W wersji 2025.81 i wcześniejszych istnieje uwierzytelniona luka nieograniczonego przesyłania plików w funkcji przesyłania obrazów produktów. Atakujący z ważnymi poświadczeniami może przesłać plik PHP ukryty jako obraz GIF (z nagłówkiem GIF89a), omijając walidację typu MIME; plik jest zapisywany z oryginalnym rozszerzeniem, w tym wykonywalnym .php. Luka występuje w metodzie addImageAction() w Core/Lib/ExtendedController/ProductImagesTrait.php.
- CVE-2026-42878Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. Przed wersją v2026 nieuwierzytelniona luka ujawniania informacji w kontrolerze Installer pozwala zdalnemu atakującemu wywołać phpinfo() na świeżej instalacji poprzez żądanie /?phpinfo=TRUE, ujawniając pełną konfigurację PHP, zmienne środowiskowe serwera (w tym dane dostępowe do bazy, klucze API i sekrety aplikacji), ścieżki systemu plików oraz załadowane rozszerzenia bez uwierzytelnienia.
- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
Enumeration of unauthenticated users in FacturaScripts, version 2025.61. The application returns different responses when attempting to log in with a valid username compared to an invalid one. An unauthenticated attacker could systematically identify valid usernames by examining variations in the application’s responses, such as changes in response time, discrepancies between error messages or differences in HTTP status codes. A successful exploit allows the attacker to compile a list of valid user accounts. This list could be used to carry out targeted brute-force attacks, password spraying, credential stuffing or social engineering campaigns against the confirmed accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS