PT-2026-3026 · Unknown · Invoiceplane

CVE-2025-67082 · Publicado 2026-01-15 · Atualizado 2026-01-17

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do InvoicePlane até a 1.6.3

Descrição Existe uma vulnerabilidade de injeção de SQL no InvoicePlane. O problema é encontrado nos parâmetros maxQuantity e minQuantity ao gerar um relatório. Um usuário com credenciais válidas pode explorar essa falha utilizando injeção de SQL baseada em erro para recuperar dados do banco de dados. Isso se deve à sanitização inadequada de aspas simples.

Recomendações Atualize o InvoicePlane para uma versão superior à 1.6.3.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2025-67082

Produtos afetados

Invoiceplane

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67082.json · Exploit
• 🔥 https://helx.io/blog/advisory-invoice-plane · Exploit
• https://github.com/InvoicePlane/InvoicePlane · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-67082 · Nota de Segurança
• https://twitter.com/CVEnew/status/2012490390490747074 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-67082 · Aviso do Fabricante