CVE-2026-39372

InvoicePlane: Sensitive Information Disclosure via Unstripped EXIF Metadata in Attachments

Публикация: 25.09.2026·Обновлена: 29.09.2026, 22:12·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

InvoicePlane is a self-hosted open source application for managing invoices, clients, and payments. Prior to 1.7.2, InvoicePlane stores and serves uploaded image attachments without stripping EXIF metadata. When an administrator uploads an image through invoice attachments, quote attachments, or another attachment feature and shares it with another user, the recipient can retrieve embedded GPS coordinates, timestamps, and device information. The preserved metadata can disclose private location and device details across users. This vulnerability is fixed in 1.7.2.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

InvoicePlane / InvoicePlane

{
  "status": "affected",
  "version": "< 1.7.2"
}

CVSS: оценки и векторы

CVSS 3.1 · cve4.9

CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиивысокие

UI · Участие пользователяне нужно

S · Область воздействияне меняется

C · Конфиденциальностьвысокое

I · Целостностьнет

A · Доступностьнет

Классы CWE

CWE-359 · Разглашение личной информации неавторизованному актеру CWE-200 · Раскрытие конфиденциальной информации

Источники и ссылки

PoC / эксплойт · github.com · cve Материал · github.com · cve Материал · github.com · cve Материал · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:47.235555+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T19:17:00.822768+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T19:17:00.822768+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T19:17:00.822768+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:47.235555+00:00"
  },
  "references": [
    "cve"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T19:17:00.822768+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:16
Данные обновлены04.11.2026, 00:13
Данные обновлены03.11.2026, 00:12
Данные обновлены02.11.2026, 00:11
Данные обновлены31.10.2026, 11:58
Данные обновлены29.10.2026, 12:25
Появилась ссылка на PoC28.10.2026, 22:17

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2026-55561 InvoicePlane: Guest user IDOR in quote approval and rejection InvoicePlane / InvoicePlane	Высокий	5.3	0,28 %	PoC	29.10.2026
CVE-2026-100392 InvoicePlane: Primary Administrator Privilege Downgrade via `Users::form()` (Missing Object-Level Authorization) InvoicePlane / InvoicePlane	Критический	7.0	0,29 %	PoC	28.09.2026
CVE-2026-33639 InvoicePlane permits DDL injection through tax_rate_decimal_places InvoicePlane / InvoicePlane	Критический	7.2	0,51 %	PoC	25.09.2026
CVE-2026-85290 InvoicePlane: Log Injection via Unsanitized User Input in Cron Key Error Logging InvoicePlane / InvoicePlane	Высокий	5.3	0,29 %	PoC	25.09.2026
CVE-2026-100371 InvoicePlane: Incomplete Authorization Remediation in Users::form() Enables Primary Administrator Account Takeover via Email Reassignment and Password Recovery InvoicePlane / InvoicePlane	Критический	8.7	0,35 %	PoC	28.09.2026