CVE-2026-14791
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
W Crater Invoice Inc do wersji 6.0.6 wykryto podatność na atak XSS w funkcji getFormattedString pliku app/Http/Requests/InvoicesRequest.php. Manipulacja argumentem notes w komponencie obsługi notatek faktur może prowadzić do wykonania skryptów po stronie przeglądarki. Atak może być przeprowadzony zdalnie, a exploit został opublikowany.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy skrypt do notatek faktury, co może prowadzić do kradzieży sesji użytkownika, przejęcia konta lub wycieku danych. Ryzyko jest wysokie, ponieważ exploit jest publicznie dostępny, a projekt nie odpowiedział na zgłoszenie.
Rekomendacja
Należy natychmiast zaktualizować Crater Invoice Inc do wersji powyżej 6.0.6, jeśli taka jest dostępna, lub zastosować tymczasowe zabezpieczenia, takie jak filtrowanie wejścia i kodowanie wyjścia dla parametru notes. Monitoruj również publiczne informacje o łatkach.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in crater-invoice-inc crater up to 6.0.6. This affects the function getFormattedString of the file app/Http/Requests/InvoicesRequest.php of the component Invoice Note Handler. Executing a manipulation of the argument notes can lead to cross site scripting. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks. The project was informed of the problem early through an issue report but has not responded yet.