CVE-2026-32699
CVE-2026-32699 · FacturaScripts unauthorized modification of immutable nick field via EditUser controller
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
FacturaScripts is an open source accounting and invoicing software. In versions 2025.92 and earlier, the application fails to validate the nick parameter during a POST request to the EditUser controller. Although the user interface prevents editing this field, a user can bypass this restriction by intercepting the request and modifying the nick form-data parameter to rename any account, including the administrator account. This leads to unauthorized modification of a field intended to be immutable.
CVSS 5.3 · Средний · EPSS 0,3%
- Опубликовано
- Обновлено
Стек: php
Затронутые продукты и версии
facturascripts
- Версии
- <= 2025.92: Затронуто
Нет опубликованного исправления
facturascripts/facturascripts Packagist
- Версии
- 2018.03
- 2018.04
- 2018.05
- 2018.11
- v2018.12
- v2018.13
- v2018.14
- v2018.15
- v2018.16
- v2020.01
- v2020.2
- v2020.3
- v2020.4
- v2020.51
- v2020.61
- v2020.71
- v2020.80
- v2021
- v2021.1
- v2021.2
- v2021.4
- v2021.51
- v2021.71
- v2021.81
- v2022.06
- v2022.08
- v2022.2
- v2022.4
- v2022.51
- v2023.03
- v2023.08
- v2023.16
- v2023.21
- v2024
- v2024.1
- v2024.2
- v2024.3
- v2024.5
- v2024.7
- v2024.8
- v2024.9
- v2024.91
- Затронутые диапазоны версий
- ECOSYSTEM: ≤ 2024.92.x-dev
Нет опубликованного исправления