CVE-2025-55580 - SolidInvoice Cross-Site Scripting (XSS) stocké dans les clients

Résumé

SolidInvoice est vulnérable à un problème de Cross-Site Scripting (XSS) stocké dans le module Client. Un attaquant authentifié peut injecter du JavaScript arbitraire dans l'application, qui s'exécutera ensuite dans le navigateur des utilisateurs.

Versions concernées

• Vulnérable : 2.3.7
• Corrigée : 2.3.8

Impact

L'exploitation permet à un utilisateur malveillant de stocker du JavaScript arbitraire dans l'application, qui s'exécutera dans le contexte des autres utilisateurs authentifiés qui consultent la page Clients. Si l'application est déployée dans un environnement multi-utilisateur — par exemple avec plusieurs administrateurs — cela pourrait conduire à :

• Détournement de session
• Vol d'identifiants ou de jetons
• Attaques de phishing ou d'ingénierie sociale
• Actions arbitraires effectuées au nom d'un autre utilisateur

Preuve de concept

1. Accédez à Clients > Add Client.
2. Saisissez une charge utile dans le champ Name au format suivant :
   root@kitploit:~