CVE-2025-55579 - SolidInvoice में टैक्स दरों में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS)

सारांश

SolidInvoice टैक्स दर सुविधा में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) समस्या के प्रति संवेदनशील है। एक प्रमाणित हमलावर एप्लिकेशन में मनमाना JavaScript इंजेक्ट कर सकता है, जो फिर उपयोगकर्ताओं के ब्राउज़र में निष्पादित होगा।

प्रभावित संस्करण

• असुरक्षित: 2.3.7
• समाधानित: 2.3.8

प्रभाव

इस शोषण से एक दुर्भावनापूर्ण उपयोगकर्ता एप्लिकेशन में मनमाना JavaScript संग्रहीत कर सकता है, जो टैक्स दरें पृष्ठ देखने वाले अन्य प्रमाणित उपयोगकर्ताओं के संदर्भ में निष्पादित होगा। यदि एप्लिकेशन बहु-उपयोगकर्ता वातावरण में तैनात है - उदाहरण के लिए, कई व्यवस्थापकों के साथ, तो इससे निम्न हो सकता है:

• सत्र अपहरण
• क्रेडेंशियल या टोकन चोरी
• फ़िशिंग या सोशल इंजीनियरिंग हमले
• किसी अन्य उपयोगकर्ता की ओर से मनमाने कार्य

प्रूफ-ऑफ-कॉन्सेप्ट

1. सिस्टम > टैक्स दरें > टैक्स दर जोड़ें पर जाएं।
2. नाम फ़ील्ड में निम्न प्रारूप वाला पेलोड दर्ज करें:
   root@kitploit:~

   <image/src/onerror=prompt(1)>