CVE-2026-32699

सारांश

FacturaScripts एक ओपन सोर्स लेखांकन और इनवॉइसिंग सॉफ्टवेयर है। संस्करण 2025.92 और उससे पहले के संस्करणों में, एप्लिकेशन EditUser कंट्रोलर पर POST अनुरोध के दौरान nick पैरामीटर को मान्य (validate) करने में विफल रहता है। हालाँकि यूज़र इंटरफ़ेस इस फ़ील्ड को संपादित करने से रोकता है, एक उपयोगकर्ता अनुरोध को इंटरसेप्ट करके और nick फॉर्म-डेटा पैरामीटर को संशोधित करके इस प्रतिबंध को बायपास कर सकता है, जिससे किसी भी खाते का नाम बदला जा सकता है, जिसमें व्यवस्थापक खाता भी शामिल है। इससे एक ऐसे फ़ील्ड में अनधिकृत संशोधन होता है जिसे अपरिवर्तनीय (immutable) बनाया गया था।

• cve-2026-32699-facturascripts-nick-bypassPoC

  फैक्टुरास्क्रिप्ट्स के EditUser कंट्रोलर में टूटा हुआ एक्सेस कंट्रोल प्रमाणित उपयोगकर्ताओं को प्रॉक्सी इंटरसेप्शन के माध्यम से अमान्य (unvalidated) nick पैरामीटर को संशोधित करके किसी भी खाते (एडमिन सहित) का नाम बदलने की अनुमति देता है। पैच किया गया लेकिन अप्रकाशित CVE।