CVE-2025-55579 - Cross-Site Scripting (XSS) Memorizzato in SolidInvoice nelle Aliquote Fiscali

Riepilogo

SolidInvoice è vulnerabile a un problema di Cross-Site Scripting (XSS) Memorizzato nella funzione Aliquote Fiscali. Un utente malintenzionato autenticato può iniettare JavaScript arbitrario nell'applicazione, che verrà poi eseguito nei browser degli utenti.

Versioni interessate

• Vulnerabile: 2.3.7
• Corretta: 2.3.8

Impatto

Lo sfruttamento consente a un utente malintenzionato di memorizzare JavaScript arbitrario nell'applicazione, che verrà eseguito nel contesto di altri utenti autenticati che visualizzano la pagina Aliquote Fiscali. Se l'applicazione è distribuita in un ambiente multiutente - ad esempio con più amministratori, ciò potrebbe portare a:

• Dirottamento della sessione
• Furto di credenziali o token
• Attacchi di phishing o ingegneria sociale
• Azioni arbitrarie eseguite per conto di un altro utente

Prova di concetto

1. Navigare su Sistema > Aliquote Fiscali > Aggiungi Aliquota Fiscale.
2. Inserire un payload nel campo Nome con il seguente formato:
   root@kitploit:~

   <image/src/onerror=prompt(1)>
   

3. Compilare tutti i campi obbligatori e salvare l'aliquota fiscale.
4. Visitare Sistema > Aliquote Fiscali per attivare lo script.

Mitigazione

Aggiornare SolidInvoice alla versione 2.3.8 o successiva.

Riferimenti

Prodotto: https://solidinvoice.co/