CVE-2025-55580 - SolidInvoice Cross-Site Scripting (XSS) Armazenado em Clientes

Resumo

O SolidInvoice é vulnerável a um problema de Cross-Site Scripting (XSS) Armazenado no Módulo de Clientes. Um atacante autenticado pode injetar JavaScript arbitrário na aplicação, que será executado nos navegadores dos usuários.

Versões Afetadas

• Vulnerável: 2.3.7
• Corrigido: 2.3.8

Impacto

A exploração permite que um usuário malicioso armazene JavaScript arbitrário na aplicação, que será executado no contexto de outros usuários autenticados que visualizarem a página Clientes. Se a aplicação estiver implantada em um ambiente multi-usuário — por exemplo, com múltiplos administradores —, isso pode levar a:

• Sequestro de sessão
• Roubo de credenciais ou tokens
• Ataques de phishing ou engenharia social
• Ações arbitrárias executadas em nome de outro usuário

Prova de Conceito

1. Navegue para Clientes > Adicionar Cliente.
2. Insira um payload no campo Nome com o seguinte formato:
   root@kitploit:~

   <script>prompt(document.cookie)</script>
   

3. Preencha todos os campos obrigatórios e salve o cliente.
4. Visite Clientes > Listar Clientes para acionar o script.

Remediação

Atualize o SolidInvoice para a versão 2.3.8 ou superior.

Referências

Produto: https://solidinvoice.co/