K08Uk0Vu

Um problema de cross-site scripting armazenado existe onde administradores do back-office autenticados com permissões de atualização de loja podem injetar scripts. Isso ocorre ao fazer o upload de imagens SVG não sanitizadas através das variáveis `logo file` ou `banner file`. Os scripts maliciosos, usando um payload onload, são servidos pelo endpoint '/admin/store-media/logo' ou pelo diretório 'public cache/images/store/', permitindo a execução contra visitantes e administradores com privilégios mais elevados.

Existe um problema de falsificação de solicitação cross-site onde os endpoints '/admin/product/combinations/update' e '/admin/product/default-price/update' aceitam requisições GET sem verificar tokens anti-CSRF. Isso permite que um invasor engane um administrador autenticado para clicar em um link malicioso a fim de modificar detalhes de combinações de produtos, incluindo preços, estoque, peso, EAN e sinalizadores de venda, potencialmente zerando preços omitidos.

Um problema de cross-site scripting armazenado existe na função `getSummary()` da classe `ForSomeCustomers`. Atacantes não autenticados podem injetar scripts maliciosos por meio de nomes de clientes não escapados. Ao se registrarem com um payload de script como nome, o script é executado quando administradores visualizam cupons relacionados, permitindo potencialmente o roubo de tokens CSRF (Cross-Site Request Forgery)—uma técnica usada para personificar um usuário—para criar contas de administrador não autorizadas.

Um problema de falsificação de solicitação cross-site (CSRF) existe no back office, onde tokens CSRF por sessão vazam através de strings de consulta de URL. Isso permite que atacantes forjem ações administrativas reutilizando tokens vazados ou visando as funções desprotegidas `setToggleVisibilityAction()` e `updatePositionAction()`. Consequentemente, administradores autenticados podem ser induzidos a excluir, ocultar ou reordenar objetos de configuração e de catálogo.

Um problema de falsificação de solicitação cross-site (CSRF) existe onde invasores remotos podem excluir tags de página, documentos e imagens. Isso ocorre porque as rotas de exclusão do back-office carecem de tokens CSRF—identificadores únicos usados para evitar solicitações não autorizadas—e verificações de permissão. Invasores podem enganar um administrador conectado para navegar por solicitações GET manipuladas que percorrem IDs sequenciais para remover imagens da TheliaLibrary, incluindo seus arquivos e variantes, em páginas, produtos e categorias.