PT-2026-6305 · Unknown · Facturascripts

Lukasz-Rybak · Publicado 2026-02-03 · Atualizado 2026-02-23 · CVE-2026-25513

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do FacturaScripts anteriores a 2025.81

Descrição O FacturaScripts, um software de planejamento de recursos empresariais e contabilidade de código aberto, contém uma vulnerabilidade crítica de injeção de SQL em sua API REST. Usuários autenticados da API podem executar consultas SQL arbitrárias através do parâmetro sort. O problema reside no método getOrderBy() da ModelClass, onde parâmetros de ordenação fornecidos pelo usuário são incorporados diretamente na cláusula SQL ORDER BY sem validação ou sanitização adequada. Isso afeta todos os endpoints da API que suportam funcionalidade de ordenação.

Recomendações Atualize para a versão 2025.81 ou posterior.

Exploit

Correção

SQL injection

RCE

Enumeração de Fraquezas

CWE-89

CWE-943

CWE-1286

CWE-20

Identificadores relacionados

CVE-2026-25513

GHSA-CJFX-QHWM-HF99

Produtos afetados

Facturascripts

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/25xxx/CVE-2026-25513.json · Exploit
• https://github.com/NeoRazorX/facturascripts · Nota
• https://github.com/NeoRazorX/facturascripts/security/advisories/GHSA-cjfx-qhwm-hf99 · Aviso do Fabricante
• https://github.com/NeoRazorX/facturascripts/commit/1b6cdfa9ee1bb3365ea4a4ad753452035a027605 · Correção
• https://t.me/CVEtracker/43755 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-25513 · Nota de Segurança
• https://twitter.com/CVEnew/status/2019182779158942197 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-cjfx-qhwm-hf99 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-25513 · Aviso do Fabricante
• https://t.me/cveNotify/152869 · Publicação no Telegram