CVE-2025-55579 - SolidInvoice Gespeichertes Cross-Site-Scripting (XSS) in Steuersätzen

Zusammenfassung

SolidInvoice ist anfällig für ein Gespeichertes Cross-Site-Scripting (XSS) Problem in der Steuersatz-Funktion. Ein authentifizierter Angreifer kann beliebiges JavaScript in die Anwendung einschleusen, das dann in den Browsern der Benutzer ausgeführt wird.

Betroffene Versionen

• Verwundbar: 2.3.7
• Behoben: 2.3.8

Auswirkungen

Die Ausnutzung ermöglicht es einem bösartigen Benutzer, beliebiges JavaScript in der Anwendung zu speichern, das im Kontext anderer authentifizierter Benutzer ausgeführt wird, die die Seite Steuersätze aufrufen. Wenn die Anwendung in einer Multi-User-Umgebung bereitgestellt wird - zum Beispiel mit mehreren Administratoren - kann dies zu Folgendem führen:

• Sitzungs-Hijacking
• Diebstahl von Anmeldeinformationen oder Token
• Phishing- oder Social-Engineering-Angriffe
• Beliebige Aktionen, die im Namen eines anderen Benutzers ausgeführt werden

Proof-of-Concept

1. Navigieren Sie zu System > Steuersätze > Steuersatz hinzufügen.