Ariane

O problema está relacionado à falta de sanitização no upload de arquivos SVG, permitindo que um invasor injete código JavaScript no avatar de um usuário. Isso pode levar a um ataque de script entre sites (XSS) quando qualquer usuário visualizar o avatar. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. A vulnerabilidade pode ser explorada através do upload de um arquivo SVG especialmente criado, o que permite ao invasor realizar um ataque de cross-site scripting. Os detalhes técnicos sobre a exploração incluem a falta de sanitização no `upload de arquivos SVG` e a capacidade de injetar `javascript` no `avatar do usuário`.

O problema está relacionado ao uso de acompanhamentos de tickets ou à configuração de mensagens de login com um link para uma folha de estilo no GLPI, o que pode permitir um vetor de ataque de script entre sites (XSS). Isso é parcialmente mitigado pela segurança CORS dos navegadores. Recomenda-se, ainda assim, que os usuários atualizem o software.