Crypto-Cat

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 through 5.9.22 Craft CMS versões 4.0.0-RC1 through 4.17.15 **Description** Um invasor com uma conta do GitHub pode injetar um payload de JavaScript no título de um problema em craftcms/cms. O payload é executado na sessão do painel de controle de um administrador do Craft quando este utiliza a tela Give feedback do widget CraftSupport e digita um termo de pesquisa que retorne o problema comprometido. Este processo não requer conta no painel de controle ou privilégios elevados por parte do invasor. **Recommendations** Atualizar para a versão 5.9.23. Atualizar para a versão 4.17.16.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 through 5.9.22 **Description** Um problema de cross-site scripting armazenado existe onde um usuário com permissões de painel de controle de nível de autor pode incorporar um payload de JavaScript malicioso em um título de entrada. A execução ocorre quando um administrador ou um usuário com permissões `saveEntries` para a mesma seção de Structure realiza uma operação de arrastar outra entrada sob a entrada afetada na visualização de tabela. Isso acontece porque o servidor escapa o título em `data-title`, que o navegador decodifica e o jQuery lê via `.data('title')`, concatenando-o posteriormente em uma nova string HTML sem a devida filtragem de atributos. A exploração bem-sucedida requer que o invasor tenha no mínimo a função de Autor e que a vítima execute uma ação específica de arrastar enquanto possua privilégios de sessão elevados. **Recommendations** Atualizar para a versão 5.9.23.