در نسخه 1.7.2-beta-1 نرم‌افزار InvoicePlane، که یک اپلیکیشن متن‌باز (Open Source) برای مدیریت صورت‌حساب‌ها، مشتریان و پرداخت‌ها است، یک آسیب‌پذیری امنیتی شناسایی شده است که منجر به اجرای کد در سمت کاربر می‌شود.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی (CVE-2026-85293) به دلیل عدم اعتبارسنجی صحیح (Validation) مقادیر client_email رخ می‌دهد. نرم‌افزار در این نسخه، سینتکس ایمیل‌ها را بررسی نمی‌کند و مقادیر دریافتی را بدون پاک‌سازی (Unescaped) در ویژگی‌های (Attributes) مقداردهی شده با نقل‌قول دوگانه در فرم‌های invoice mailer و quote mailer رندر می‌کند.
سناریوی حمله
- یک مدیر (Administrator) که دسترسی ویرایش اطلاعات مشتری را دارد، می‌تواند ورودی‌های مخربی را که باعث شکستن ساختار ویژگی‌های HTML می‌شوند، ذخیره کند.
- زمانی که یک مدیر احراز هویت شده دیگر، فرم‌های مربوط به ارسال ایمیل را باز کند، کدهای JavaScript تزریق شده به صورت خودکار اجرا می‌شوند.
این نوع حمله که به عنوان Stored XSS شناخته می‌شود، می‌تواند منجر به سرقت Session Cookie یا اجرای دستورات غیرمجاز در سطح دسترسی مدیر شود.
