PT-2026-38616 · Neorazorx+1 · Facturascripts+1

Preritpathak · Publicado 2026-05-07 · Atualizado 2026-05-27 · CVE-2026-42878

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas FacturaScripts versões anteriores a v2026

Description Um problema de divulgação de informações não autenticado no controlador Installer permite que um invasor remoto acione a função phpinfo() em uma implantação nova. Ao solicitar o endpoint "/" com o parâmetro phpinfo definido como "TRUE", um invasor pode expor a configuração completa do PHP, variáveis de ambiente do servidor, caminhos do sistema de arquivos e extensões carregadas. Essa exposição pode incluir dados sensíveis, como credenciais de banco de dados, chaves de API ou segredos de aplicativo armazenados como variáveis de ambiente.

Recommendations Atualize para a versão v2026. Como medida paliativa temporária, restrinja o acesso ao controlador Installer ou ao endpoint "/" até que a atualização seja aplicada.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-42878

GHSA-VRXF-VRC4-22P7

Produtos afetados

Facturascripts

Facturascripts/Facturascripts

Referências · 6

• 🔥 https://github.com/NeoRazorX/facturascripts/security/advisories/GHSA-vrxf-vrc4-22p7 · Exploit
• https://github.com/NeoRazorX/facturascripts · Nota
• https://osv.dev/vulnerability/GHSA-vrxf-vrc4-22p7 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-42878 · Nota de Segurança
• https://twitter.com/CVEnew/status/2059718105426006448 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1t78zbd/resumen_diario_de_vulnerabilidades_08052026 · Publicação no Reddit