CVE-2026-42878
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 56 - wyżej niż 56% wszystkich znanych CVE
Streszczenie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. Przed wersją v2026 nieuwierzytelniona luka ujawniania informacji w kontrolerze Installer pozwala zdalnemu atakującemu wywołać phpinfo() na świeżej instalacji poprzez żądanie /?phpinfo=TRUE, ujawniając pełną konfigurację PHP, zmienne środowiskowe serwera (w tym dane dostępowe do bazy, klucze API i sekrety aplikacji), ścieżki systemu plików oraz załadowane rozszerzenia bez uwierzytelnienia.
Ocena ryzyka
Ujawnienie danych uwierzytelniających do bazy danych, kluczy API i innych sekretów może umożliwić atakującemu dalszą eskalację i pełny dostęp do systemu. Ryzyko dotyczy świeżo wdrożonych instalacji FacturaScripts przed wersją v2026.
Rekomendacja
Update FacturaScripts to v2026. Until then, restrict access to the phpinfo parameter and prevent public access to the installer.
Inne podatności w FacturaScripts
Zobacz wszystkie- CVE-2026-11960Średnie
W FacturaScripts w wersji 2025.61 występuje możliwość enumeracji nieuwierzytelnionych użytkowników. Aplikacja zwraca różne odpowiedzi przy próbie logowania z prawidłową i nieprawidłową nazwą użytkownika, co pozwala atakującemu zidentyfikować prawidłowe nazwy użytkowników na podstawie różnic w czasie odpowiedzi, komunikatach błędów lub kodach statusu HTTP.
- CVE-2026-11959Średnie
W FacturaScripts w wersji 2025.61 występuje podatność typu Stored Cross-Site Scripting (XSS) spowodowana brakiem odpowiedniej walidacji lub sanityzacji danych wejściowych w polach 'city' i 'province' w endpoincie 'ListAlmacen'. Udana eksploatacja może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce ofiary lub eskalację uprawnień z zwykłego użytkownika do administratora.
- CVE-2026-104905Wysokie
FacturaScripts przed wersją 2026.7 zawiera podatność na wstrzykiwanie obiektów PHP w funkcji WidgetSelect::processFormData(), która pozwala uwierzytelnionym atakującym wywołać unserialize() na surowych danych POST bez filtra allowed_classes dla pól wielokrotnego wyboru. Atakujący mogą przesłać zserializowany obiekt XLSXWriter jako wartość pola, aby wywołać jego metodę __destruct(), usuwając dowolne pliki wskazane przez atakującego, takie jak config.php lub dane kopii zapasowej, co prowadzi do odmowy usługi i potencjalnego przejęcia reinstalacji aplikacji.
- CVE-2026-42879Średnie
FacturaScripts to oprogramowanie księgowe i fakturacyjne open source. W wersji 2025.81 i wcześniejszych istnieje uwierzytelniona luka nieograniczonego przesyłania plików w funkcji przesyłania obrazów produktów. Atakujący z ważnymi poświadczeniami może przesłać plik PHP ukryty jako obraz GIF (z nagłówkiem GIF89a), omijając walidację typu MIME; plik jest zapisywany z oryginalnym rozszerzeniem, w tym wykonywalnym .php. Luka występuje w metodzie addImageAction() w Core/Lib/ExtendedController/ProductImagesTrait.php.
- CVE-2026-27964Niskie
FacturaScripts do wersji 2025.7 zawiera podatność na Reflected XSS przez parametr ciasteczka fsNick. Wartość ciasteczka jest odzwierciedlana w HTML bez sanityzacji, co pozwala na wykonanie skryptu przed przekierowaniem. Podatność została naprawiona w wersji 2025.8.
- CVE-2026-27892Średnie
FacturaScripts przed wersją 2026 przechowuje i udostępnia przesłane obrazy bez usuwania metadanych EXIF/XMP/IPTC. Uwierzytelnieni użytkownicy mogą pobrać obraz i wyodrębnić dane osobowe przesyłającego, takie jak współrzędne GPS, informacje o urządzeniu czy znaczniki czasu.
- CVE-2026-27891Wysokie
FacturaScripts w wersjach 2026 i niższych zawiera krytyczną podatność w funkcji Plugins::add(), która nie waliduje poprawnie ścieżek plików w przesłanych archiwach ZIP. Pozwala to na atak Zip Slip, prowadzący do zapisu dowolnych plików i zdalnego wykonania kodu (RCE) poprzez nadpisanie wrażliwych plików .php poza katalogiem wtyczek.
- CVE-2026-32699Średnie
FacturaScripts do wersji 2025.92 nie waliduje parametru 'nick' podczas żądania POST do kontrolera EditUser. Mimo że interfejs uniemożliwia edycję tego pola, atakujący może przechwycić żądanie i zmodyfikować parametr, aby zmienić nazwę dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
FacturaScripts is an open source accounting and invoicing software. Prior to v2026, an unauthenticated information disclosure vulnerability in the Installer controller allows any remote attacker to trigger phpinfo() on a fresh FacturaScripts deployment by requesting /?phpinfo=TRUE, exposing full PHP configuration, server environment variables (including any database credentials, API keys, or application secrets set as env vars), filesystem paths, and loaded extensions without being authenticated. This vulnerability is fixed in v2026.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS