CVE-2026-25594

总结

InvoicePlane 是一款自托管开源应用，用于管理发票、客户和付款。InvoicePlane 1.7.0 中存在一个存储型跨站脚本（XSS）漏洞，该漏洞通过“姓氏”（Family Name）字段触发。`family_name` 值在产品表单的姓氏下拉列表中被渲染时未进行 HTML 编码。当管理员创建一个包含恶意名称的姓氏时，该载荷会在任何访问产品表单的管理员浏览器中执行。1.7.1 版本已修复此问题。

• CVE-2026-25594PoC

  # InvoicePlane 1.7.0 存储型 XSS 概念验证（通过姓氏字段） 针对 InvoicePlane 1.7.0 中姓氏字段的存储型 XSS 概念验证，包含载荷、请求及影响分析，用于防御性研究。