Alfaz Hossain

Clientes autenticados podem injetar payloads HTML maliciosos através dos sistemas de chat e tickets de suporte. Isso ocorre devido à renderização não sanitizada via a diretiva `v-html` nos seguintes arquivos: `Messages.vue`, `RightChatSidebar.vue`, `SupportTicketMessages.vue` e `SupportTicketDetails.vue`. Um invasor pode enviar conteúdo de mensagem manipulado que executa JavaScript arbitrário no navegador de qualquer proprietário de loja ou administrador que visualize a mensagem, permitindo o roubo de cookies de sessão e a tomada de conta da conta.

Uma injeção de SQL não autenticada existe na API de listagem de produtos. O problema ocorre porque o parâmetro `rating` no endpoint 'products' é concatenado diretamente em uma cláusula HAVING do MySQL sem parametrização no arquivo `ProductController.php`. Isso permite que invasores realizem uma injeção de SQL cega baseada em tempo (time-based blind SQL injection)—uma técnica usada para inferir dados observando o tempo que o servidor leva para responder a consultas específicas—para extrair todo o conteúdo do banco de dados, incluindo credenciais de usuário e hashes de senhas de administrador. Além disso, como a conexão com o banco de dados é executada como root, há um potencial de acesso não autorizado ao sistema de arquivos.

Existe um problema onde a interface do usuário representa incorretamente informações críticas, o que pode permitir que um invasor não autorizado realize spoofing através de uma rede.

Uma representação incorreta da interface do usuário (UI) de informações críticas permite que um invasor não autorizado realize spoofing através de uma rede. Ao utilizar uma URL manipulada, um invasor pode manipular a tela para enganar o usuário.