CVE-2025-55579 - SolidInvoice: ثغرة تخزين Cross-Site Scripting (XSS) في معدلات الضرائب

ملخص

SolidInvoice معرضة لثغرة تخزين Cross-Site Scripting (XSS) في ميزة معدلات الضرائب. يمكن لمهاجم مصادق حقن JavaScript عشوائي في التطبيق، والذي سينفذ في متصفحات المستخدمين.

الإصدارات المتأثرة

• الضعيف: 2.3.7
• المصحح: 2.3.8

التأثير

يسمح الاستغلال لمستخدم ضار بتخزين JavaScript عشوائي في التطبيق، والذي سينفذ في سياق مستخدمين آخرين مصادقين يشاهدون صفحة معدلات الضرائب. إذا تم نشر التطبيق في بيئة متعددة المستخدمين - على سبيل المثال، مع عدة مدراء، فقد يؤدي ذلك إلى:

• اختطاف الجلسة
• سرقة بيانات الاعتماد أو الرموز
• هجمات التصيد الاحتيالي أو الهندسة الاجتماعية
• تنفيذ إجراءات عشوائية نيابة عن مستخدم آخر

إثبات المفهوم

1. انتقل إلى النظام > معدلات الضرائب > إضافة معدل ضريبة.
2. أدخل حمولة في حقل الاسم بالتنسيق التالي:
   root@kitploit:~

   <image/src/onerror=prompt(1)>
   

3. املأ جميع الحقول المطلوبة واحفظ معدل الضريبة.
4. زر النظام > معدلات الضرائب لتشغيل النص البرمجي.

المعالجة

قم بتحديث SolidInvoice إلى الإصدار 2.3.8 أو أحدث.

المراجع

المنتج: https://solidinvoice.co/