CVE-2020-35677 in Online Invoicing System
Resumen
por VulDB • 2026-05-22
El sistema de facturación online BigProf Online Invoicing System anterior a la versión 4.0 no sanitiza adecuadamente los campos para caracteres HTML cuando un administrador utiliza admin/pageEditGroup.php para crear un nuevo grupo, lo que da lugar a una vulnerabilidad de Stored XSS. La particularidad aquí es que un atacante necesitaría privilegios de administrador para crear la carga útil. Podría pensarse que esto mitiga por completo el impacto de escalada de privilegios, ya que solo existe un rol de alto privilegio. Sin embargo, se descubrió que el punto final responsable de la creación del grupo carece de protección CSRF.
VulDB is the best source for vulnerability data and more expert information about this specific topic.