CVE-2026-25548: InvoicePlane: RCE via LFI e Envenenamento de Logs

Visão geral

O InvoicePlane é um aplicativo open source self-hosted para gestão de faturas, clientes e pagamentos. O registro descreve uma falha crítica de execução remota de código que encadeia inclusão de arquivo local com envenenamento de logs. A fraqueza é classificada como CWE-94 (Injeção de Código).

Impacto

O registro atribui pontuação CVSS base de 9,1 (crítica), com alto impacto na confidencialidade, integridade e disponibilidade.
O ataque é descrito como alcançável pela rede e de baixa complexidade, mas exige privilégios altos, especificamente um administrador autenticado.
Os dados SSVC do registro classificam o impacto técnico como total e a automatizabilidade como não.

Versões afetadas e produtos

O registro lista como afetadas as versões do InvoicePlane anteriores à 1.7.1 (até a 1.7.0 inclusive).
O registro indica a versão 1.7.1 como a versão corrigida.
O commit referenciado é o patch citado no registro.

Status de exploração

A entrada não consta no catálogo KEV da CISA segundo o registro, portanto não há exploração ativa confirmada registrada para esta CVE.
Não há exploração confirmada no meio real nas fontes consultadas.
Uma referência do registro tem a marcação Exploit. Essa marcação, por si só, não confirma exploração real, e o conteúdo dessa referência não foi analisado aqui.
A probabilidade EPSS no registro é de cerca de 1 por cento, com percentil de cerca de 63 por cento.

Correção e mitigação

Atualize o InvoicePlane para a versão 1.7.1 ou superior, que segundo o registro corrige o problema.
Se a atualização imediata não for possível, restrinja contas de administrador ao mínimo de usuários confiáveis e revise quem pode alterar configurações da aplicação.
Revise configurações que controlam caminhos de templates ou arquivos e garanta que os valores não apontem para arquivos inesperados.
Restrinja acesso de escrita e leitura aos arquivos de log da aplicação e, quando possível, mantenha-os fora de diretórios servidos pelo servidor web.

Detecção

Audite alterações na configuração de template de fatura pública e gere alertas para modificações feitas por contas inesperadas.
Revise o histórico de atividades administrativas em busca de mudanças de configuração fora de janelas de manutenção.
Inspecione logs da aplicação e do servidor web em busca de entradas incomuns ou conteúdo fora do formato esperado.
Monitore a presença de arquivos ou inclusões inesperadas referenciadas pela aplicação.

Limitações das informações disponíveis

O registro não descreve os passos técnicos exatos da cadeia, e esta análise não os fornece.
O registro não lista soluções alternativas além da correção.
O registro não informa se forks, instalações personalizadas ou outras versões são afetadas.
O conteúdo do recurso referenciado com marcação Exploit não foi analisado.
Pontuações e valores EPSS foram retirados do registro e não foram verificados de forma independente.

Fontes: GitHub Security Advisory GHSA-g6rw-m9mf-33ch, commit do patch, entrada no NVD.

Perguntas frequentes

Quais versões do InvoicePlane são afetadas pela CVE-2026-25548?

O registro lista as versões anteriores à 1.7.1, o que inclui a 1.7.0 e as anteriores. O registro não traz um histórico de versões mais detalhado.

O que corrige esta vulnerabilidade?

O registro informa que a versão 1.7.1 corrige o problema e referencia um commit de patch no repositório do InvoicePlane.

Esta vulnerabilidade é explorada ativamente?

Não há confirmação. A CVE não consta no catálogo KEV da CISA no registro, e não há exploração confirmada no meio real nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.