Maennchen

Existe uma falha de autorização incorreta no ash-project ash, permitindo o bypass de autenticação. O problema está associado aos arquivos do programa `lib/ash/policy/authorizer/authorizer.ex` e à rotina `Elixir.Ash.Policy.Authorizer`:strict filters/2.

O problema diz respeito a uma vulnerabilidade de injeção de CSV no recurso de exportação de CSV do aplicativo Hygeia, utilizado para coletar e processar dados pessoais e de casos relacionados a doenças transmissíveis. Essa vulnerabilidade permite que os usuários enviem fórmulas como campos exportados, que são então executados quando o arquivo exportado é importado. A falta de validação ou sanitização desses campos de fórmula permite que agentes mal-intencionados criem e executem código malicioso.

A cross-site scripting (XSS) issue was discovered, allowing for potential exploitation via the `order` parameter in a query. An example of a malicious request could be made to the API endpoint "http://host/ressources?order=%27><script>alert(1);</script>", demonstrating the vulnerability.