CVE-2025-55579 - Cross-Site Scripting (XSS) Almacenado en SolidInvoice en Tasas de Impuestos

Resumen

SolidInvoice es vulnerable a un problema de Cross-Site Scripting (XSS) Almacenado en la función de Tasas de Impuestos. Un atacante autenticado puede inyectar JavaScript arbitrario en la aplicación, que luego se ejecutará en los navegadores de los usuarios.

Versiones afectadas

• Vulnerable: 2.3.7
• Corregida: 2.3.8

Impacto

La explotación permite a un usuario malintencionado almacenar JavaScript arbitrario en la aplicación, que se ejecutará en el contexto de otros usuarios autenticados que vean la página Tasas de Impuestos. Si la aplicación se implementa en un entorno multiusuario, por ejemplo, con varios administradores, esto podría conducir a:

• Secuestro de sesión
• Robo de credenciales o tokens
• Ataques de phishing o ingeniería social
• Acciones arbitrarias realizadas en nombre de otro usuario

Prueba de concepto

1. Navegue a Sistema > Tasas de Impuestos > Agregar Tasa de Impuestos.
2. Introduzca un payload en el campo Nombre con el siguiente formato: