CVE-2026-71233

Nome do Software Vulnerável e Versões Afetadas InvoiceNinja versão 5-stable

Descrição Um usuário autenticado com permissões de criação de faturas pode injetar payloads de HTML ou JavaScript no campo terms de uma fatura ou orçamento. Isso ocorre porque a aplicação renderiza esse campo no portal do cliente usando uma diretiva de saída bruta sem sanitização de HTML. O arquivo StoreInvoiceRequest.php apenas remove quebras de linha e não purifica o conteúdo HTML. Um invasor pode explorar isso utilizando o endpoint de API 'PUT /api/v1/invoices/{id}' para definir a variável terms, levando à execução de scripts no navegador do cliente, o que pode resultar no roubo de cookies de sessão e na tomada de controle da conta do cliente.

Recomendações Como medida de mitigação temporária, restrinja o acesso ao endpoint de API 'PUT /api/v1/invoices/{id}' ou evite usar o parâmetro terms até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.