Dt25

A neutralização inadequada de entrada durante a geração de páginas web leva ao Cross-site Scripting (XSS), uma condição em que scripts maliciosos são injetados em sites confiáveis. Um administrador de weblog pode armazenar um script que é executado nos navegadores dos membros do weblog quando eles abrem o menu principal. Isso ocorre porque a rotina de remoção de HTML mantém uma tag que não foi fechada, e o menu principal exibe a descrição do weblog sem a devida codificação.

Uma falha de autorização existe onde um membro do weblog com a função Limited pode modificar ou excluir entradas que ele teria permissão apenas para ler, incluindo entradas publicadas por outros membros. Isso ocorre porque o editor de entradas verifica a função geral do membro no weblog, mas não verifica se essa função permite a edição da entrada específica.