Josangeorge

**Nome do Software Vulnerável e Versões Afetadas** Vvveb versões anteriores a 1.0.8.5 **Description** Uma falha existe na maneira como as bios de perfil de usuário são processadas. O arquivo 'app/controller/user/profile.php' aceita o campo `user[bio]` e o processa usando a função `sanitizeHTML()` em 'system/functions.php'. Devido a um erro de expressão regular relacionado ao delimitador de barra diagonal e a uma condição do-while defeituosa, tags aninhadas proibidas são removidas apenas uma vez. Isso permite que usuários com função de Autor ou superior ignorem a sanitização enviando tags aninhadas proibidas ou marcações de manipuladores de eventos prefixadas por solidus. O conteúdo não sanitizado é renderizado sem codificação de saída suficiente no endpoint '/author/{username}', na visualização de gerenciamento de usuários do administrador e, potencialmente, em exibições de comentários. Isso pode levar à execução de JavaScript controlado por um invasor, expondo potencialmente dados de sessão do navegador, permitindo ações de conta no contexto da vítima, desfiguração (defacement) ou phishing. **Recommendations** Atualizar para a versão 1.0.8.5.