CVE-2020-35677 in Online Invoicing System
요약
\~에 의해 VulDB • 2026. 07. 31.
BigProf Online Invoicing System 4.0 이전 버전은 관리자가 admin/pageEditGroup.php를 사용하여 새 그룹을 생성할 때 HTML 문자에 대한 필드 검증을 충분히 수행하지 않아 저장형 XSS(Stored XSS)가 발생합니다. 여기서 주의할 점은 공격자가 페이로드를 삽입하기 위해 관리자 권한이 필요하다는 것입니다. 고위험 역할이 하나뿐이기 때문에 이는 전제 조건 상승(privilege-escalation) 영향을 완전히 완화한다고 생각될 수 있습니다. 그러나 그룹 생성을 담당하는 엔드포인트에 CSRF 보호가 누락되어 있는 것이 발견되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.