Hishamco

**Nome do Software Vulnerável e Versões Afetadas** SimplCommerce versões anteriores ao commit 6142d3b5 **Description** Existe um cross-site scripting (XSS) armazenado no endpoint 'NewsItemApiController'. Um administrador autenticado pode executar JavaScript arbitrário através dos campos `ShortContent` e `FullContent`. Isso ocorre porque a entrada é armazenada sem sanitização de HTML e é posteriormente renderizada sem codificação usando a função `@Html.Raw()`. **Recommendations** Atualize o SimplCommerce para o commit 6142d3b5 ou uma versão posterior. Como medida de mitigação temporária, restrinja o acesso administrativo aos recursos de gerenciamento de itens de notícias.

**Nome do Software Vulnerável e Versões Afetadas** SimplCommerce versões anteriores ao commit 6233d73e **Description** Ocorre falsificação de solicitação cross-site (CSRF) no NewsItemApiController. Este problema permite que um invasor remoto não autenticado crie ou modifique itens de notícias com privilégios de administrador ao enviar um formulário manipulado para o endpoint '/api/news-items'. A falha é causada pela ausência de proteção anti-CSRF, que é um mecanismo usado para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia. **Recommendations** Atualize para a versão que contenha o commit 6233d73e ou posterior.