K1Di3

O componente de gerenciamento de permissões contém uma falha na qual o endpoint de salvamento de permissões não realiza verificações de autorização. Isso permite que qualquer usuário autenticado conceda a qualquer função, incluindo a sua própria, o conjunto completo de permissões do aplicativo enviando uma requisição POST manipulada para o endpoint, que então sincroniza as permissões enviadas com a função especificada.

Usuários autenticados com permissões para criar ou atualizar leads podem executar JavaScript arbitrário na origem da aplicação. Isso ocorre na visualização de índice de leads quando marcações HTML armazenadas no campo de nome do lead são renderizadas através da diretiva de saída não escapada do Blade e inseridas dentro de uma literal de string JavaScript em um atributo `onclick`.