Cross-Site Scripting (XSS) in SolidInvoice (CVE-2026-46489)
Summary
Cross-site scripting in SolidInvoice (CVE-2026-46489). Confidential information can be exposed externally.
Original description
The description as published by the source.
SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, the company logo upload feature accepts any file type without validation. An authenticated administrator can upload an SVG file containing embedded JavaScript. This script is base64-encoded and injected unescaped into every page of the application, causing stored cross-site scripting (XSS) that executes in every authenticated user's browser. This issue has been patched in version 2.3.17.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
SolidInvoiceのバージョン2.3.17以前には、ロゴアップロード機能にファイルタイプの検証がないため、管理者が任意のSVGファイルをアップロードし、ストアドXSSを引き起こす可能性がありました。問題はバージョン2.3.17で修正されています。
SolidInvoiceのロゴアップロード機能における入力検証の欠如によるストアドXSS脆弱性。
SolidInvoiceのバージョン2.3.17以前。
管理者が任意にJavaScriptを含むファイルをアップロードできるため、深刻なセキュリティリスクとなります。
バージョン2.3.17にアップデートすることで、この脆弱性が修正されます。
回避策はありません。ソフトウェアのアップデートを推奨します。
アップロードされたSVGファイルが埋め込まれたJavaScriptを含んでいないか確認する。