CVE-2025-55580 - Межсайтовый скриптинг (XSS) с сохранением в SolidInvoice в модуле Клиентов

Сводка

SolidInvoice уязвим к проблеме межсайтового скриптинга (XSS) с сохранением в модуле Клиентов. Аутентифицированный злоумышленник может внедрить произвольный JavaScript в приложение, который затем выполнится в браузерах пользователей.

Затронутые версии

• Уязвимые: 2.3.7
• Исправлено: 2.3.8

Воздействие

Эксплуатация позволяет злоумышленнику сохранить произвольный JavaScript в приложении, который выполнится в контексте других аутентифицированных пользователей, просматривающих страницу Клиенты. Если приложение развернуто в многопользовательской среде, например, с несколькими администраторами, это может привести к:

• Угону сессии
• Краже учетных данных или токенов
• Фишинговым атакам или социальной инженерии
• Выполнению произвольных действий от имени другого пользователя

Доказательство концепции

1. Перейдите в Клиенты > Добавить клиента.
2. Введите полезную нагрузку в поле Имя в следующем формате:
   root@kitploit:~