ddobrev25/cve-2025-55580Prova de conceito para uma vulnerabilidade de script entre sites (XSS) armazenado no módulo de cliente SolidInvoice, permitindo sequestro de sessão e execução arbitrária de JavaScript para usuários autenticados.
O SolidInvoice é vulnerável a um problema de Cross-Site Scripting (XSS) Armazenado no Módulo de Clientes. Um atacante autenticado pode injetar JavaScript arbitrário na aplicação, que será executado nos navegadores dos usuários.
A exploração permite que um usuário malicioso armazene JavaScript arbitrário na aplicação, que será executado no contexto de outros usuários autenticados que visualizarem a página Clientes. Se a aplicação estiver implantada em um ambiente multi-usuário — por exemplo, com múltiplos administradores —, isso pode levar a:
<script>prompt(document.cookie)</script>
Atualize o SolidInvoice para a versão 2.3.8 ou superior.
Produto: https://solidinvoice.co/