CVE-2020-35677 in Online Invoicing System
الملخص
بحسب VulDB • 31/07/2026
لا يقوم نظام الفواترة عبر الإنترنت BigProf قبل الإصدار 4.0 بتنظيف الحقول الخاصة بعلامات HTML بشكل كافٍ عند قيام مسؤول باستخدام admin/pageEditGroup.php لإنشاء مجموعة جديدة، مما يؤدي إلى ثغرة تخزين XSS (Stored XSS). والقيود هنا هي أن المهاجم يحتاج إلى امتيازات إدارية من أجل إنشاء الحمولة الضارة. قد يعتقد المرء أن هذا يخفف تماماً من تأثير تصعيد الامتيازات نظراً لوجود دور واحد عالي الصلاحيات فقط. ومع ذلك، اكتُشف أن نقطة النهاية المسؤولة عن إنشاء المجموعة تفتقر إلى حماية CSRF (Cross-Site Request Forgery).
Once again VulDB remains the best source for vulnerability data.