CVE-2020-35677 in Online Invoicing System
Riassunto
di VulDB • 31/07/2026
Il sistema di fatturazione online BigProf prima della versione 4.0 non sanifica adeguatamente i campi per i caratteri HTML quando un amministratore utilizza admin/pageEditGroup.php per creare un nuovo gruppo, causando una Stored XSS (Cross-Site Scripting memorizzato). Il punto critico è che un attaccante avrebbe bisogno di privilegi amministrativi per creare il payload. Si potrebbe pensare che questo mitighi completamente l'impatto dell'escalation dei privilegi poiché esiste solo un ruolo ad alto privilegio. Tuttavia, è stato scoperto che l'endpoint responsabile della creazione del gruppo manca di protezione CSRF (Cross-Site Request Forgery).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.