InvoicePlane Vulnerável à Execução Remota de Código via Inclusão Local de Arquivo e Envenenamento de Log

A exploração bem-sucedida desta vulnerabilidade permite a um atacante obter controle total sobre o servidor onde o InvoicePlane está instalado. Ao manipular a configuração publicinvoicetemplate para incluir arquivos de log envenenados com código PHP, o atacante pode injetar e executar código malicioso. Isso pode levar ao roubo de dados confidenciais, modificação de informações financeiras, instalação de malware ou até mesmo ao uso do servidor para lançar ataques a outros sistemas. A gravidade da vulnerabilidade reside na facilidade de exploração e no potencial de impacto devastador.

Organizations using InvoicePlane for invoice management, particularly those with self-hosted deployments and administrator accounts that are not adequately secured, are at significant risk. Shared hosting environments where multiple users share the same server instance are also particularly vulnerable, as a compromise of one user's InvoicePlane installation could potentially affect others.

• linux / server:

journalctl -u invoiceplane | grep -i "php code injection"

• generic web:

curl -I http://your-invoiceplane-server.com/public_invoice_template | grep -i "Content-Type: text/plain"

• php: Check the InvoicePlane configuration files for any unusual or unexpected entries in the publicinvoicetemplate setting. Look for suspicious file paths or attempts to include external files.

1. 2026-02-18Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-02-18
3. Modificada2026-02-19
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização imediata para a versão 1.7.1 do InvoicePlane, que corrige a falha. Se a atualização imediata não for possível, considere restringir o acesso ao painel de administração do InvoicePlane e implementar controles de segurança adicionais, como a desativação do registro de erros públicos. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de acesso a arquivos não autorizados ou execução de comandos inesperados. Após a atualização, confirme a correção verificando se a configuração publicinvoicetemplate não permite mais a inclusão de arquivos externos.