InvoicePlane Vulnérable à l'Exécution Arbitraire de Code à Distance via Inclusion Locale de Fichier et Empoisonnement de Journal

Un attaquant peut exploiter cette vulnérabilité en manipulant le paramètre publicinvoicetemplate pour inclure des fichiers journaux empoisonnés contenant du code PHP malveillant. L'exécution réussie de ce code permet à l'attaquant de prendre le contrôle complet du serveur hébergeant InvoicePlane. Cela peut entraîner la compromission des données sensibles des clients, la modification des factures, le vol d'informations financières et potentiellement l'accès à d'autres systèmes sur le même réseau. La nature critique de cette vulnérabilité, combinée à la popularité d'InvoicePlane, en fait une cible privilégiée pour les acteurs malveillants.

Organizations using InvoicePlane for invoice management, particularly those with self-hosted deployments and administrator accounts that are not adequately secured, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one user's InvoicePlane installation could potentially affect others.

• linux / server:

journalctl -u invoiceplane | grep -i "php code injection"

• generic web:

curl -I http://your-invoiceplane-server.com/public_invoice_template | grep -i "Content-Type: text/plain"

• php: Check the InvoicePlane configuration files for any unusual or unexpected entries in the publicinvoicetemplate setting. Look for suspicious file paths or attempts to include external files.

1. 2026-02-18Disclosure

   disclosure

1. Réservé2026-02-02
2. Publiée2026-02-18
3. Modifiée2026-02-19
4. EPSS mis à jour2026-03-23

La mitigation immédiate consiste à mettre à jour InvoicePlane vers la version 1.7.1, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, il est fortement recommandé de restreindre l'accès à l'application et de surveiller attentivement les journaux système pour détecter toute activité suspecte. En attendant la mise à jour, il est possible de configurer un pare-feu d'application web (WAF) pour bloquer les requêtes contenant des tentatives d'inclusion de fichiers malveillants. Vérifiez après la mise à jour que le paramètre publicinvoicetemplate est correctement validé et qu'il n'est pas possible d'inclure des fichiers externes.