CVE-2026-46489

Nome do Software Vulnerável e Versões Afetadas SolidInvoice versões anteriores a 2.3.17

Descrição O recurso de upload de logotipo da empresa não possui validação para os tipos de arquivos enviados. Um administrador autenticado pode fazer o upload de um arquivo SVG contendo JavaScript codificado em base64. Esse script é injetado sem escape em todas as páginas da aplicação, resultando em cross-site scripting (XSS) armazenado, que é uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo e executados nos navegadores de outros usuários autenticados.

Recomendações Atualizar para a versão 2.3.17.