CVE-2025-55580 - SolidInvoice 클라이언트 저장형 교차 사이트 스크립팅 (XSS)

요약

SolidInvoice는 클라이언트 모듈에서 저장형 교차 사이트 스크립팅(XSS) 취약점에 취약합니다. 인증된 공격자가 애플리케이션에 임의의 JavaScript를 주입할 수 있으며, 이는 사용자의 브라우저에서 실행됩니다.

영향을 받는 버전

• 취약 버전: 2.3.7
• 수정 버전: 2.3.8

영향

악의적인 사용자가 애플리케이션에 임의의 JavaScript를 저장할 수 있으며, 이는 클라이언트 페이지를 보는 다른 인증된 사용자의 컨텍스트에서 실행됩니다. 애플리케이션이 다중 사용자 환경(예: 여러 관리자)에 배포된 경우 다음과 같은 문제가 발생할 수 있습니다:

• 세션 하이재킹
• 자격 증명 또는 토큰 도난
• 피싱 또는 사회 공학 공격
• 다른 사용자를 대신한 임의의 작업 수행

개념 증명

1. 클라이언트 > 클라이언트 추가로 이동합니다.
2. 이름 필드에 다음 형식의 페이로드를 입력합니다:
   root@kitploit:~

   <script>prompt(document.cookie)</script>
   

3. 모든 필수 필드를 입력하고 클라이언트를 저장합니다.
4. 클라이언트 > 클라이언트 목록으로 이동하여 스크립트를 실행합니다.

해결 방법

SolidInvoice를 버전 으로 업데이트하세요.