Devansh Sanghvi

A security vulnerability has been detected in Webkul Aureus ERP up to 1.6.0. This issue affects some unknown processing of the file composer.json. Such manipulation leads to insertion of sensitive information into debugging code. The attack may be launched remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure.

A vulnerability was detected in Webkul Aureus ERP up to 1.6.0. Impacted is an unknown function of the file plugins/webkul/security/src/Filament/Resources/UserResource/Schemas/UserForm.php. Performing a manipulation of the argument Password results in weak password requirements. Remote exploitation of the attack is possible. The complexity of an attack is rather high. The exploitability is considered difficult. The exploit is now public and may be used. The vendor was contacted early about this disclosure.

**Nome do Software Vulnerável e Versões Afetadas** Aureus ERP versões anteriores a 1.6.1 **Description** O plugin de Contabilidade (Accounting) não sanitiza o campo de nota de Termo de Pagamento, renderizando-o como HTML bruto. Usuários autenticados com permissão de criação de termo de pagamento podem enviar JavaScript arbitrário para o endpoint `payment-terms`. Este script é armazenado no banco de dados e executado nos navegadores de todos os usuários que visualizarem o registro de Termo de Pagamento afetado, resultando em uma condição de Cross-Site Scripting (XSS) armazenado. **Recommendations** Atualize para uma versão posterior à 1.6.0. Restrinja o acesso ao endpoint `payment-terms` para usuários que não necessitem estritamente de permissões de criação de termos de pagamento.