CVE-2026-46489
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
SolidInvoice to platforma do fakturowania typu open-source. W wersjach przed 2.3.17 funkcja przesyłania logo firmy akceptowała dowolny typ pliku bez walidacji, co pozwalało na przesyłanie plików SVG z osadzonym JavaScript.
Ocena ryzyka
Zagrożenie polega na możliwości wykonania ataku typu stored cross-site scripting (XSS), który może wpłynąć na wszystkich uwierzytelnionych użytkowników aplikacji, narażając ich na kradzież danych lub inne złośliwe działania.
Rekomendacja
Zaleca się aktualizację do wersji 2.3.17 lub nowszej, aby usunąć tę podatność oraz wdrożenie dodatkowych mechanizmów walidacji przesyłanych plików.
Inne podatności w SolidInvoice
Zobacz wszystkie- CVE-2026-61688Średnie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 uwierzytelniony użytkownik może przeglądać historię żądań API tokenów innych użytkowników w tej samej firmie, manipulując dwoma zapisywalnymi właściwościami komponentu Symfony UX LiveComponent `DataGrid`. Wersja 3.0.1 naprawia ten problem.
- CVE-2026-61686Wysokie
SolidInvoice przed wersją 3.0.1 zawiera podatność na deserializację danych dostarczanych przez klienta w komponencie DataGrid LiveComponent. Atakujący z uwierzytelnieniem może wysłać złośliwy ładunek PHP, co może prowadzić do nieautoryzowanego wykonania kodu.
- CVE-2026-61614Średnie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1, uwierzytelniacz REST API akceptuje tokeny bearer przez parametr zapytania `?token=` jako alternatywę dla nagłówka `X-API-TOKEN`. Powoduje to zapisywanie długotrwałych poświadczeń API w logach serwera, logach proxy, historii przeglądarki i nagłówkach HTTP Referer wysyłanych do zewnętrznych stron. Wersja 3.0.1 naprawia ten problem.
- CVE-2026-61608Średnie
SolidInvoice to platforma fakturowania o otwartym kodzie źródłowym. Przed wersją 3.0.1 encje `UserInvitation` nie mają znacznika wygaśnięcia. Linki zaproszeń wysyłane do użytkowników pozostają ważne bezterminowo, co oznacza, że wyciekły, przekazany lub zarchiwizowany e-mail z zaproszeniem może być użyty w dowolnym momencie w przyszłości do dołączenia do firmy lub cichego dodania skompromitowanego konta e-mail do firmy. Wersja 3.0.1 naprawia ten problem.
- CVE-2026-46622Wysokie
SolidInvoice to platforma do wystawiania faktur typu open-source. W wersjach przed 2.3.17, tokeny API używane do uwierzytelniania wszystkich żądań REST API były przechowywane jako tekst jawny w tabeli api_tokens w bazie danych.
Oryginalny opis (angielski, źródło NVD)
SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, the company logo upload feature accepts any file type without validation. An authenticated administrator can upload an SVG file containing embedded JavaScript. This script is base64-encoded and injected unescaped into every page of the application, causing stored cross-site scripting (XSS) that executes in every authenticated user's browser. This issue has been patched in version 2.3.17.