Diblei

O GroupOffice permite que usuários autenticados persistam configurações legadas arbitrárias para qualquer `user id` através do endpoint 'index.php?r=core/saveSetting'. Um sink do lado do cliente no módulo de e-mail injeta a configuração `email font size` diretamente no JavaScript sem escape. Um usuário autenticado de baixo privilégio pode explorar essas falhas sobrescrevendo a configuração `email font size` de um administrador com um payload de JavaScript, disparando um Cross-Site Scripting (XSS) armazenado — técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo — no navegador do administrador quando o cliente web carrega 'views/Extjs3/modulescripts.php'.

Group-Office is an enterprise customer relationship management and groupware tool. An authenticated SQL Injection vulnerability exists in the JMAP `Contact/query` endpoint. This allows any authenticated user with basic addressbook access to extract arbitrary data from the database, including active session tokens of other users. Successful exploitation enables full account takeover of any user, including the System Administrator, without knowing their password. The vulnerability affects the `Contact/query` API endpoint and allows access to data through SQL injection via the JMAP interface.