Mario Tesoro

@kolkov/angular-editor before 3.0.4 contains a cross-site scripting vulnerability in toggleEditorMode() that assigns source view text to innerHTML without DomSanitizer sanitization. Attackers can induce users to paste HTML with event handlers such as img onerror into source mode, executing script in the application's origin when toggling views.

Existe um problema onde a função `refreshView()` escreve HTML do `ngModel` ou controles de formulários reativos diretamente no `innerHTML` sem utilizar o `DomSanitizer`. Isso ignora a opção de sanitização padrão, permitindo que atacantes armazenem HTML contendo atributos de manipuladores de eventos. Quando esse conteúdo é posteriormente carregado no editor, ele pode levar à execução de scripts arbitrários na origem da aplicação para os usuários que abrirem o conteúdo afetado.

A stored cross-site scripting (XSS) issue exists in HCL Unica Marketing Operations. Stored cross-site scripting occurs when an application receives data from an untrusted source and includes that data within its later HTTP responses in an unsafe way.

Existe um problema de Falsificação de Requisição entre Sites (CSRF) no OpenText Web Site Management Server. Um usuário com uma sessão ativa pode ser induzido a executar ações sem seu conhecimento ao clicar em uma página maliciosa contendo HTML elaborado.

Nome do Software Vulnerável e Versões Afetadas OpenText Web Site Management Server versões 16.7.0 até 16.7.1 Descrição O software contém uma falha de neutralização inadequada de entrada durante a geração de páginas da Web, resultando em Cross-site Scripting Refletido (XSS). Isso permite a injeção de código JavaScript malicioso por meio de parâmetros de URL. Quando uma visualização de página é renderizada, o script injetado pode ser executado no lado do cliente. O problema envolve a renderização de scripts maliciosos ao gerar uma visualização de página. Recomendações Atualize o OpenText Web Site Management Server para uma versão posterior à 16.7.1.

A Cross Site Scripting issue exists in DokuWiki. A remote attacker may be able to execute arbitrary code through the `q` parameter. The vulnerable component is 'Librarian' [56.1].

O IBM Copy Services Manager 6.3.13 está vulnerável a cross-site scripting. Um usuário autenticado pode incorporar código JavaScript arbitrário na Interface Web, potencialmente alterando a funcionalidade e levando à divulgação de credenciais dentro de uma sessão confiável.

A vulnerabilidade permite que um invasor acesse arquivos sensíveis inserindo payloads de path traversal no parâmetro `deficon`, possibilitando a inclusão de arquivos locais.