Vulnerabilidad en FacturaScripts de NeoRazorX (CVE-2026-27892)

FacturaScripts es un software de contabilidad y facturación de código abierto. En versiones anteriores a 2026, el módulo de Biblioteca almacena y sirve las imágenes subidas byte a byte, sin eliminar los metadatos EXIF/XMP/IPTC. Cualquier usuario autenticado que descargara una imagen podría extraer los metadatos incrustados del cargador, que incluían coordenadas GPS, información del dispositivo, marcas de tiempo, comentarios/notas incrustados, vistas previas en miniatura y otra información de identificación personal (PII) conservada en los metadatos de la imagen. De todas las características de carga de imágenes de FacturaScripts, solo el módulo de Biblioteca combinaba cargas sin restricciones, almacenamiento persistente, acceso de descarga autenticado y una falta total de saneamiento de metadatos del lado del servidor. Esta vulnerabilidad conlleva un impacto significativo en el mundo real: un empleado que sube una foto tomada en su casa revela inadvertidamente su dirección domiciliaria precisa a cada usuario con acceso de descarga a la Biblioteca. Este problema ha sido solucionado en la versión 2026.