XSS (Cross-Site Scripting) dans SolidInvoice (CVE-2026-46489)
Résumé
XSS dans SolidInvoice (CVE-2026-46489). Des informations confidentielles peuvent être exposées.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
SolidInvoice is an open-source invoicing platform. Prior to version 2.3.17, the company logo upload feature accepts any file type without validation. An authenticated administrator can upload an SVG file containing embedded JavaScript. This script is base64-encoded and injected unescaped into every page of the application, causing stored cross-site scripting (XSS) that executes in every authenticated user's browser. This issue has been patched in version 2.3.17.
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-46489 a été découverte dans CVE-2026-46489.
Des informations confidentielles peuvent être exposées. Score CVSS : 8.1/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « CVE-2026-46489 CVE-2026-46489 » sur le site de l'éditeur.
CVE-2026-46489 (CVE-2026-46489) — CWE-79 / CVSS v3 8.1
Vecteur d'attaque : distant (réseau)
Versions affectées : <= 2.3.16
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
SolidInvoiceのロゴアップロード機能における入力検証の欠如によるストアドXSS脆弱性。
SolidInvoiceのバージョン2.3.17以前。
管理者が任意にJavaScriptを含むファイルをアップロードできるため、深刻なセキュリティリスクとなります。
バージョン2.3.17にアップデートすることで、この脆弱性が修正されます。
回避策はありません。ソフトウェアのアップデートを推奨します。
アップロードされたSVGファイルが埋め込まれたJavaScriptを含んでいないか確認する。
Références
- advisory github.com
- advisory github.com
- advisory nvd.nist.gov
- patch github.com
- web github.com