概要
SolidInvoice に XSS (クロスサイトスクリプティング) (CVE-2026-46489) が存在。機密情報が外部に流出する可能性があります。
原文の説明
取得元が公開している説明をそのまま載せています (多くは英語)。
SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, the company logo upload feature accepts any file type without validation. An authenticated administrator can upload an SVG file containing embedded JavaScript. This script is base64-encoded and injected unescaped into every page of the application, causing stored cross-site scripting (XSS) that executes in every authenticated user's browser. This issue has been patched in version 2.3.17.
出典: NIST National Vulnerability Database NVD
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
SolidInvoiceのバージョン2.3.17以前には、ロゴアップロード機能にファイルタイプの検証がないため、管理者が任意のSVGファイルをアップロードし、ストアドXSSを引き起こす可能性がありました。問題はバージョン2.3.17で修正されています。
SolidInvoiceのロゴアップロード機能における入力検証の欠如によるストアドXSS脆弱性。
SolidInvoiceのバージョン2.3.17以前。
管理者が任意にJavaScriptを含むファイルをアップロードできるため、深刻なセキュリティリスクとなります。
バージョン2.3.17にアップデートすることで、この脆弱性が修正されます。
回避策はありません。ソフトウェアのアップデートを推奨します。
アップロードされたSVGファイルが埋め込まれたJavaScriptを含んでいないか確認する。