PT-2026-53999 · Unknown · Invoice Ninja

George Chen · Publicado 2026-06-30 · Atualizado 2026-06-30 · CVE-2026-58450

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Invoice Ninja versões anteriores a 5.13.27

Descrição Existe um redirecionamento aberto no login do portal do cliente. Atacantes não autenticados podem redirecionar usuários autenticados para URLs externas injetando um valor malicioso no parâmetro de consulta intended. Este valor é armazenado na sessão sem validação de host e é processado pelo manipulador ContactLoginController authenticated(), que realiza um redirecionamento direto após um login legítimo, facilitando ataques de phishing.

Recomendações Atualize para a versão 5.13.27 ou posterior.

Exploit

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2026-58450

Produtos afetados

Invoice Ninja

Referências · 4

• 🔥 https://github.com/invoiceninja/invoiceninja/issues/12039 · Exploit
• https://twitter.com/CVEnew/status/2072076775140794817 · Publicação no Twitter
• https://vulncheck.com/advisories/invoice-ninja-open-redirect-in-client-portal-login-via-intended-parameter · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-58450 · Nota de Segurança