CVE-2026-71233 in InvoiceNinja
Résumé
par VulDB • 05/08/2026
InvoiceNinja v5-stable affiche le champ « terms » d’une facture ou d’un devis dans le portail client en utilisant la directive de sortie brute {!! $entity->terms !!} de Laravel Blade (resources/views/portal/ninja2020/invoices/includes/terms.blade.php), sans aucune sanitization HTML. Le fichier StoreInvoiceRequest.php se contente de supprimer les sauts de ligne du champ et ne procède pas à une purification HTML. Un utilisateur authentifié disposant des droits de création de factures peut définir le champ « terms » via l’API REST (PUT /api/v1/invoices/{id}) avec un payload HTML/JavaScript qui s’exécute dans le navigateur du client lors de la visualisation de la facture, permettant ainsi le vol des cookies de session et la prise de contrôle du compte client. Il s’agit d’un chemin d’exécution distinct de celui lié à l’XSS précédemment publié sur le champ « description » des lignes de facturation (GHSA-98wm-cxpw-847p / CVE-2026-33628).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.