Kasper Karlsson

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0 até 3.0.15 Apache Syncope versões 4.0 até 4.0.3 **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na página de Login do Enduser do Apache Syncope. Um atacante poderia potencialmente roubar credenciais de usuário ao induzir um usuário legítimo a clicar em um link malicioso e fazer login no Syncope Enduser. O ataque envolve a manipulação do processo de login para executar scripts maliciosos no contexto do navegador do usuário. **Recomendações** Atualize para a versão 3.0.16 Atualize para a versão 4.0.4

**Nome do software vulnerável e versões afetadas** Versões do Syncope anteriores à 3.0.9 **Descrição** A vulnerabilidade permite que um invasor contorne a sanitização de HTML usando tags HTML incompletas ao editar objetos no Syncope Console. Isso possibilita a injeção de cargas XSS armazenadas, que podem ser acionadas para outros usuários durante o uso normal do aplicativo. Além disso, cargas XSS podem ser injetadas no Syncope Enduser ao editar “Informações Pessoais” ou “Solicitações do Usuário”, e essas cargas podem ser acionadas para administradores no Syncope Console, permitindo o sequestro de sessão. **Recomendações** Para versões anteriores à 3.0.9, atualize para a versão 3.0.9 para corrigir a vulnerabilidade. Como solução temporária, considere restringir a edição de objetos no Syncope Console e limitar o acesso às seções “Informações Pessoais” e “Solicitações do Usuário” no Syncope Enduser para minimizar o risco de exploração.