CVE-2025-55579 - Cross-Site Scripting (XSS) Almacenado en SolidInvoice en Tasas de Impuestos

Resumen

SolidInvoice es vulnerable a un problema de Cross-Site Scripting (XSS) Almacenado en la función de Tasas de Impuestos. Un atacante autenticado puede inyectar JavaScript arbitrario en la aplicación, que luego se ejecutará en los navegadores de los usuarios.

Versiones afectadas

• Vulnerable: 2.3.7
• Corregida: 2.3.8

Impacto

La explotación permite a un usuario malintencionado almacenar JavaScript arbitrario en la aplicación, que se ejecutará en el contexto de otros usuarios autenticados que vean la página Tasas de Impuestos. Si la aplicación se implementa en un entorno multiusuario, por ejemplo, con varios administradores, esto podría conducir a:

• Secuestro de sesión
• Robo de credenciales o tokens
• Ataques de phishing o ingeniería social
• Acciones arbitrarias realizadas en nombre de otro usuario

Prueba de concepto

1. Navegue a Sistema > Tasas de Impuestos > Agregar Tasa de Impuestos.
2. Introduzca un payload en el campo Nombre con el siguiente formato:
   root@kitploit:~

   <image/src/onerror=prompt(1)>
   

3. Complete todos los campos obligatorios y guarde la tasa de impuestos.
4. Visite Sistema > Tasas de Impuestos para activar el script.

Remediación

Actualice SolidInvoice a la versión 2.3.8 o posterior.

Referencias

Producto: https://solidinvoice.co/