CVE-2020-35677 in Online Invoicing System
要約
〜によって VulDB • 2026年07月31日
BigProf Online Invoicing System 4.0 より前のバージョンでは、管理者が admin/pageEditGroup.php を使用して新しいグループを作成する際に HTML文字に対するフィールドのサニタイズ処理が不十分であり、これにより格納型 XSS（Stored XSS）が発生します。ただし、攻撃者がペイロードを作成するには管理者権限が必要です。これは高権限ロールが1つしかないため特権昇格の影響を完全に軽減すると考えられがちですが、グループ作成を担当するエンドポイントに CSRF 保護がないことが発見されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.