InvoicePlane Vulnerable a Ejecución Remota de Código a través de Inclusión de Archivos Locales y Envenenamiento de Registros

Un atacante con privilegios de administrador en InvoicePlane puede explotar esta vulnerabilidad para ejecutar código malicioso en el servidor. Esto podría resultar en la toma de control completa del sistema, robo de datos confidenciales (información de clientes, facturas, datos financieros), modificación de datos, o incluso la interrupción del servicio. La cadena de ataque implica manipular la configuración publicinvoicetemplate para incluir archivos de registro envenenados con código PHP, que luego se ejecutan al procesar la plantilla de factura. La severidad de esta vulnerabilidad es alta debido a la facilidad de explotación y el potencial impacto en la confidencialidad, integridad y disponibilidad del sistema.

Organizations using InvoicePlane for invoice management, particularly those with self-hosted deployments and administrator accounts that are not adequately secured, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one user's InvoicePlane installation could potentially affect others.

• linux / server:

journalctl -u invoiceplane | grep -i "php code injection"

• generic web:

curl -I http://your-invoiceplane-server.com/public_invoice_template | grep -i "Content-Type: text/plain"

• php: Check the InvoicePlane configuration files for any unusual or unexpected entries in the publicinvoicetemplate setting. Look for suspicious file paths or attempts to include external files.

1. 2026-02-18Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-02-18
3. Modificada2026-02-19
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar InvoicePlane a la versión 1.7.1, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda restringir el acceso a la configuración publicinvoicetemplate y monitorear los archivos de registro en busca de actividad sospechosa. Implementar un Web Application Firewall (WAF) con reglas para bloquear intentos de inclusión de archivos locales puede proporcionar una capa adicional de protección. Verifique que la configuración de PHP tenga habilitadas las restricciones de inclusión de archivos (por ejemplo, openbasedir y disablefunctions). Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que la configuración publicinvoicetemplate no permita la inclusión de archivos externos.