CVE-2020-35677 in Online Invoicing System
Sumário
de VulDB • 31/07/2026
O sistema de faturamento online BigProf Online Invoicing System anterior à versão 4.0 não sanitiza adequadamente os campos para caracteres HTML quando um administrador utiliza admin/pageEditGroup.php para criar um novo grupo, resultando em Stored XSS (Cross-Site Scripting Armazenado). A ressalva aqui é que o atacante precisaria de privilégios administrativos para criar a payload. Pode-se pensar que isso mitiga completamente o impacto da escalada de privilégios, pois há apenas uma função com altos privilégios. No entanto, descobriu-se que o endpoint responsável pela criação do grupo não possui proteção CSRF (Cross-Site Request Forgery).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.