What is CVE-2026-71233?
This vulnerability in InvoiceNinja v5-stable allows stored Cross-Site Scripting (XSS) attacks via the 'terms' field in the client portal, as it uses Laravel Blade's raw output directive without HTML sanitization. An authenticated user can inject malicious scripts that execute when others view invoices or quotes, compromising user sessions and data integrity. Immediate patching and input validation are required to mitigate the risk.
Azərbaycanca: Bu zəiflik InvoiceNinja v5-stable platformasında müştəri portalında hesab və ya təklifin 'terms' sahəsində HTML təmizlənməsi aparılmadığı üçün yaranır. Nəticədə, autentifikasiya olunmuş istifadəçi Laravel Blade-in {!! $entity->terms !!} direktivi vasitəsilə saxlanılan XSS (Cross-Site Scripting) hücumu həyata keçirə bilər. Təsirə məruz qalan sistemlərdə dərhal rəsmi yamaq tətbiq edilməli və istifadəçi girişləri ciddi şəkildə yoxlanılmalıdır.
Related CVEs
link basis: same weakness class CWE-79
FAQ2
On which platform was CVE-2026-71233 discovered?
This vulnerability was discovered in InvoiceNinja v5-stable.
What causes CVE-2026-71233?
The vulnerability occurs because the 'terms' field in the client portal does not undergo HTML sanitization.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.