Marcos García

Existe uma falha de bypass de autorização na API de transações que permite que um usuário autenticado leia registros financeiros de outras empresas na mesma instância. Isso ocorre porque o sistema não implementa o escopo da empresa ou verificações de permissão ao processar as solicitações. O problema é acionado por meio de um identificador incrementado no endpoint GET '/api/transaction/{id}', afetando especificamente a variável `id`.

Um problema de cross-site scripting (XSS) armazenado existe no componente de gerenciamento de usuários. Um invasor autenticado pode executar JavaScript arbitrário no navegador de outro usuário autenticado ao fornecer um nome de usuário manipulado. Isso ocorre porque o frontend utiliza a função `escapeHTML()` antes de interpolar o nome de usuário no atributo `onclick` do botão de exclusão de conta. Como os navegadores decodificam valores de atributos HTML antes que o mecanismo de JavaScript analise o manipulador, uma aspa simples (') codificada pode ser usada para romper a literal de string e injetar código malicioso que é executado quando a vítima clica no botão de exclusão.

Usuários autenticados podem executar JavaScript arbitrário na origem da aplicação devido a um problema de Cross-site Scripting no renderizador de descobertas. Isso ocorre quando a marcação HTML armazenada no campo `severity` de uma descoberta é interpolada sem a devida sanitização nos atributos de classe e estilo durante a renderização do relatório.

Ocorre Cross-site Scripting (XSS) Armazenado nas funções de renderização de relatórios do lado do cliente `renderPreview()`, `renderEditor()` e `renderAuditData()` localizadas em js/app.js. Um invasor remoto e autenticado pode executar JavaScript arbitrário no navegador de qualquer usuário que visualize um relatório afetado. Isso é possível porque payloads armazenados no array `images` de um achado ou no array `client logo` de um relatório são interpolados em um atributo src de <img> sem a devida filtragem.