CVE-2025-55580 - SolidInvoice में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) ग्राहकों में

सारांश

SolidInvoice, ग्राहक मॉड्यूल में संग्रहीत क्रॉस-साइट स्क्रिप्टिंग (XSS) समस्या के प्रति संवेदनशील है। एक प्रमाणित हमलावर एप्लिकेशन में मनमाना जावास्क्रिप्ट इंजेक्ट कर सकता है, जो फिर उपयोगकर्ताओं के ब्राउज़रों में निष्पादित होगा।

प्रभावित संस्करण

• संवेदनशील: 2.3.7
• फिक्स्ड: 2.3.8

प्रभाव

शोषण एक दुर्भावनापूर्ण उपयोगकर्ता को एप्लिकेशन में मनमाना जावास्क्रिप्ट संग्रहीत करने की अनुमति देता है, जो Clients पृष्ठ देखने वाले अन्य प्रमाणित उपयोगकर्ताओं के संदर्भ में निष्पादित होगा। यदि एप्लिकेशन को बहु-उपयोगकर्ता वातावरण में तैनात किया गया है - उदाहरण के लिए, कई व्यवस्थापकों के साथ, इससे निम्न हो सकता है:

• सत्र अपहरण
• क्रेडेंशियल या टोकन चोरी
• फ़िशिंग या सोशल इंजीनियरिंग हमले
• किसी अन्य उपयोगकर्ता की ओर से मनमानी कार्रवाइयाँ

प्रूफ-ऑफ-कॉन्सेप्ट

1. Clients > Add Client पर जाएं।
2. Name फ़ील्ड में निम्नलिखित प्रारूप के साथ एक पेलोड दर्ज करें:
   root@kitploit:~

   <script>prompt(document.cookie)</script>