Mhe4Am

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 até 5.10.10 **Descrição** Um problema de cross-site scripting armazenado existe devido à sanitização inadequada de entrada no campo de nome do site. Isso permite que administradores injetem payloads de JavaScript arbitrários que são executados quando outros usuários acessam as páginas de configurações do painel de controle. **Recomendações** Atualize o Craft CMS para a versão 5.10.11.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões anteriores a 5.10.8 **Description** Existe uma falha de bypass de autenticação na ação 'elements/save'. Usuários autenticados com permissões para editar usuários podem redefinir a senha de qualquer conta, incluindo administradores, explorando o campo `newPassword` desprotegido no fluxo de salvamento do elemento User. **Recommendations** Atualize para a versão 5.10.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 e posteriores **Description** Um problema de cross-site scripting armazenado existe na página de Permissões de Usuário. O software falha ao realizar a a escape HTML adequada ao renderizar nomes de grupos de usuários. Isso permite que atacantes com privilégios administrativos injetem JavaScript arbitrário através do campo de nome do grupo de usuários, que é executado quando outros usuários visualizam ou editam as permissões. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores à 4.10.2 Versões do Craft Commerce anteriores à 5.5.3 **Descrição** O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém uma vulnerabilidade de cross-site scripting armazenado. O problema ocorre quando um usuário tenta atualizar o Status do Pedido a partir da Tabela de Pedidos do Commerce. O Nome do Status do Pedido é renderizado sem o escape adequado, o que permite a execução de script. **Recomendações** Atualize para a versão 4.10.2 ou posterior do Craft Commerce. Atualize para a versão 5.5.3 ou posterior do Craft Commerce.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores à 4.10.2 Versões do Craft Commerce anteriores à 5.5.3 **Descrição** O Craft Commerce, uma plataforma de ecommerce para Craft CMS, possui uma vulnerabilidade de Injeção de SQL no endpoint da tabela purchasables. O parâmetro `sort` é dividido e a parte do nome da coluna é passada para a função `orderBy()` sem a devida validação. O query builder do Yii2 não faz escape das chaves do array, o que permite que um atacante autenticado injete SQL na cláusula `ORDER BY`. O endpoint vulnerável é '/purchasables'. O parâmetro vulnerável é `sort`. **Recomendações** Atualize para a versão 4.10.2 ou posterior do Craft Commerce. Atualize para a versão 5.5.3 ou posterior do Craft Commerce.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores à 5.5.3 **Descrição** O Craft Commerce, uma plataforma de e-commerce para o Craft CMS, apresenta uma vulnerabilidade de Injeção de SQL no endpoint de dados da tabela de níveis de estoque. Os parâmetros `sort[0][direction]` e `sort[0][sortField]` são adicionados diretamente a uma cláusula `addOrderBy()` sem validação ou sanitização adequadas. Um atacante autenticado com acesso à seção de Inventário do Commerce pode injetar consultas SQL, potencialmente comprometendo todo o banco de dados. **Recomendações** Atualize para a versão 5.5.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores à 5.5.3 **Descrição** O Craft Commerce, uma plataforma de e-commerce para o Craft CMS, contém uma vulnerabilidade de cross-site scripting armazenado na página de Inventário do Commerce. Os campos Título do Produto, Título da Variante e SKU da Variante não possuem escape de HTML adequado, o que permite que um atacante execute JavaScript arbitrário quando um usuário visualiza a página de gerenciamento de inventário. Isso afeta todos os usuários, incluindo administradores. **Recomendações** Atualize para a versão 5.5.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores à 5.5.3 **Descrição** O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém uma vulnerabilidade de cross-site scripting armazenado (XSS). O problema está localizado na página Configurações do Commerce - Locais de Estoque, onde o campo `Nome` não é sanitizado corretamente antes de ser exibido, permitindo que um atacante injete e execute código JavaScript arbitrário. Isso pode ser acionado quando um administrador ou um usuário com permissões de edição de produtos cria ou edita uma variante de produto. **Recomendações** Atualize para a versão 5.5.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft Commerce anteriores a 4.10.2 Versões do Craft Commerce anteriores a 5.5.3 **Descrição** O Craft Commerce, uma plataforma de comércio eletrônico para o Craft CMS, contém uma vulnerabilidade de Cross-Site Scripting Armazenado (XSS) na seção de detalhes do pedido. Um atacante pode injetar código JavaScript malicioso por meio do Nome do Método de Envio, Referência do Pedido ou Nome do Site. Quando um usuário abre o painel de detalhes do pedido ao clicar duas vezes na página de índice de pedidos, o código injetado será executado. **Recomendações** Atualize para a versão 4.10.2 ou posterior do Craft Commerce. Atualize para a versão 5.5.3 ou posterior do Craft Commerce.

Nome do Software Vulnerável e Versões Afetadas Versões do Craft CMS anteriores a 4.17.0-beta.1 e 5.9.0-beta.1 Descrição O Craft é um sistema de gerenciamento de conteúdo (CMS). Um administrador autenticado pode alcançar Execução Remota de Código (RCE) ao injetar um payload de Injeção de Template do Lado do Servidor (SSTI) em campos de template Twig, como Modelos de E-mail. Ao chamar o método `craft.app.fs.write()`, um invasor pode escrever um script PHP malicioso em um diretório acessível na web e, posteriormente, acessá-lo por meio de um navegador para executar comandos de sistema arbitrários. A vulnerabilidade também permite a divulgação de informações sensíveis, incluindo credenciais de banco de dados e a chave de segurança, por meio do acesso às propriedades de `craft.app`. Recomendações Atualize o Craft CMS para a versão 4.17.0-beta.1 ou posterior. Atualize o Craft CMS para a versão 5.9.0-beta.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft anteriores a 5.9.0-beta.1 Versões do Craft anteriores a 4.17.0-beta.1 **Descrição** O Craft é um sistema de gerenciamento de conteúdo (CMS). Existe uma falha na qual a ação "Duplicar" de entrada não verifica corretamente as permissões do usuário para elementos-alvo específicos. Mesmo com permissão limitada de "Visualizar Entradas", um usuário pode contornar restrições da interface do usuário ao enviar uma solicitação direta. Isso permite a duplicação de entradas de outros usuários ao especificar seus IDs de Entrada. Como os IDs de Entrada são incrementais, um invasor pode, potencialmente, realizar um ataque de força bruta nesses IDs para duplicar e acessar conteúdo restrito. A vulnerabilidade pode ser explorada por meio de uma solicitação direta ao endpoint da API "/index.php?p=admin%2Factions%2Felement-indexes%2Fperform-action", utilizando o parâmetro `elementIds`. A solicitação requer um token `CSRF` válido e um cookie. **Recomendações** As versões do Craft anteriores a 5.9.0-beta.1 devem ser atualizadas para a versão 5.9.0-beta.1 ou posterior. As versões do Craft anteriores a 4.17.0-beta.1 devem ser atualizadas para a versão 4.17.0-beta.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft anteriores a 5.9.0 Versões do Craft anteriores a 4.17.0 **Descrição** O Craft é um sistema de gerenciamento de conteúdo (CMS). O sistema utiliza uma lista de bloqueio para evitar que funções PHP potencialmente perigosas sejam chamadas por meio de funções seta não Closure do Twig. Várias funções PHP não foram incluídas nessa lista de bloqueio, o que potencialmente permite que atores maliciosos com as permissões necessárias executem cargas maliciosas, incluindo execução remota de código (RCE), leitura arbitrária de arquivos, falsificação de solicitação do lado do servidor (SSRF) e injeção de template do lado do servidor (SSTI). Para explorar com sucesso, um atacante precisa ter `allowAdminChanges` habilitado em produção, uma conta de administrador comprometida ou uma conta com acesso ao utilitário System Messages. O Twig descontinuou o comportamento que permitia isso e ele será removido completamente do Twig no futuro. **Recomendações** Versões anteriores a 5.9.0 devem ser atualizadas para a versão 5.9.0. Versões anteriores a 4.17.0 devem ser atualizadas para a versão 4.17.0 e a configuração `enableTwigSandbox` deve ser habilitada.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft anteriores a 4.17.0-beta.1 Versões do Craft anteriores a 5.9.0-beta.1 **Descrição** O processo de criação de entradas permite a Atribuição em Massa do atributo `authorId`. Um usuário com permissão "Criar Entradas" pode injetar o parâmetro `authorIds[]` ou `authorId` na requisição POST. O backend processa esse parâmetro sem verificar se o usuário atual está autorizado a atribuir autoria a outros. Normalmente, esse campo não está presente na requisição para usuários sem as permissões necessárias. Ao adicionar manualmente esse parâmetro, um atacante pode atribuir a nova entrada a qualquer usuário, efetivamente "falsificando" a autoria. Isso poderia permitir que um atacante publique conteúdo malicioso ou inadequado atribuído a um administrador ou outros usuários confiáveis, possivelmente contornando processos de revisão ou ganhando confiança com base em uma autoria falsa. **Recomendações** Versões anteriores a 4.17.0-beta.1 devem ser atualizadas para 4.17.0-beta.1 ou posterior. Versões anteriores a 5.9.0-beta.1 devem ser atualizadas para 5.9.0-beta.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 4.0.0-RC1 até 4.17.0-beta.1 Craft CMS versões 5.0.0-RC1 até 5.9.0-beta.1 **Description** O cross-site scripting armazenado ocorre quando nomes de configurações e rótulos de opções de campo são renderizados sem sanitização, especificamente no template 'checkbox.twig' usando o filtro `label|raw`. Um administrador autenticado com a opção `allowAdminChanges` habilitada pode injetar cargas maliciosas em nomes de seções, nomes de volumes, nomes de grupos de usuários, nomes de conjuntos globais, nomes de campos gerados, rótulos de opções de checkbox/radio e rótulos de fontes personalizadas. Isso permite a execução de JavaScript arbitrário nas sessões do painel de controle de outros usuários. **Recommendations** Atualizar para a versão 4.17.0-beta.1 ou posterior. Atualizar para a versão 5.9.0-beta.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 4.5.0-beta.1 até 4.16.18 Craft CMS versões 5.0.0-RC1 até 5.8.22 **Description** Um problema de cross-site scripting (XSS) armazenado existe no componente `editableTable.twig` ao utilizar o tipo de coluna 'Row Heading'. A aplicação não sanitiza adequadamente a entrada nos valores padrão do cabeçalho da linha. Isso permite que um invasor com uma conta de administrador, desde que a opção `allowAdminChanges` esteja habilitada, injete JavaScript arbitrário. O script é executado quando outro usuário visualiza uma página que contém o campo de tabela afetado. **Recommendations** Atualize para a versão 4.16.19 para versões no ramo 4.x. Atualize para a versão 5.8.23 para versões no ramo 5.x.

**Nome do Software Vulnerável e Versões Afetadas** Craft versões 4.5.0-RC1 até 4.16.18 Craft versões 5.0.0-RC1 até 5.8.22 **Descrição** O Craft é um sistema de gerenciamento de conteúdo (SGC) que apresenta um problema de Cross-site Scripting (XSS) armazenado no componente `editableTable.twig` ao utilizar o tipo de coluna `html`. A aplicação não sanitiza adequadamente a entrada, permitindo que um atacante execute JavaScript arbitrário quando outro usuário visualiza uma página contendo o campo de tabela malicioso. Para explorar essa vulnerabilidade, o atacante precisa de uma conta de administrador e o `allowAdminChanges` deve estar habilitado em produção. O componente vulnerável é o `editableTable.twig`, especificamente ao usar o tipo de coluna `html`. O parâmetro vulnerável é `types[craft-fields-Table][columns][col3][type]`. **Recomendações** Craft versões 4.5.0-RC1 até 4.16.18: atualize para a versão 4.16.19 ou posterior. Craft versões 5.0.0-RC1 até 5.8.22: atualize para a versão 5.8.23 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft 5.0.0-RC1 até 5.8.21 **Descrição** O Craft está suscetível a um problema de cross-site scripting (XSS) armazenado devido à sanitização insuficiente dos nomes dos Tipos de Entrada. Especificamente, o aplicativo não sanitiza corretamente o nome ao exibí-lo na lista de Tipos de Entrada. Um atacante com acesso de administrador e `allowAdminChanges` habilitado pode injetar código malicioso, como um payload JavaScript, no campo de nome do Tipo de Entrada. Este código injetado será então executado quando outros administradores visualizarem a lista de Tipos de Entrada no endpoint `/admin/settings/entry-types`. A vulnerabilidade é acionada ao fornecer uma entrada manipulada como `<img src=x onerror="alert('XSS-EntryTypes')" hidden>` como o nome do Tipo de Entrada. **Recomendações** As versões do Craft 5.0.0-RC1 até 5.8.21 devem ser atualizadas para a versão 5.8.22 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft 4.0.0-RC1 até 4.16.17 Versões do Craft 5.0.0-RC1 até 5.8.21 **Descrição** A mutação GraphQL `saveAsset` valida o nome do host da URL inicial e o IP resolvido contra uma lista de bloqueio, mas o Guzzle segue redirecionamentos HTTP por padrão. Isso permite que um atacante contorne as proteções contra Server-Side Request Forgery (SSRF) hospedando um redirecionamento que aponte para endpoints de metadados de nuvem ou quaisquer endereços IP internos. A aplicação valida a URL inicial, mas o comportamento de redirecionamento do Guzzle contorna essa validação. A mutação utiliza o endpoint GraphQL `/saveAsset` com o parâmetro `url`. O parâmetro `url` é usado para especificar a localização do ativo a ser salvo. **Recomendações** Versões do Craft anteriores a 4.16.18 estão afetadas. Versões do Craft anteriores a 5.8.22 estão afetadas. Desative os redirecionamentos.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft 4.0.0-RC1 até 4.16.17 Versões do Craft 5.0.0-RC1 até 5.8.21 **Descrição** A mutação GraphQL `saveAsset` do Craft não valida corretamente os endereços IP utilizados para acessar os serviços de metadados na nuvem. O aplicativo utiliza `filter var(..., FILTER VALIDATE IP)` para bloquear uma lista de endereços IP, mas essa função não reconhece notações alternativas de IP, como formatos hexadecimais ou mistos. Isso permite que atacantes contornem a lista de bloqueio e potencialmente acessem metadados na nuvem. O componente vulnerável é a mutação `saveAsset`. O parâmetro vulnerável é o endereço IP utilizado na solicitação. **Recomendações** Atualize para a versão 4.16.18 do Craft ou posterior. Atualize para a versão 5.8.22 do Craft ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Craft 4.0.0-RC1 até 4.16.17 Versões do Craft 5.0.0-RC1 até 5.8.21 **Descrição** O Craft é uma plataforma para criação de experiências digitais. O endpoint da API `element-indexes/get-elements` é vulnerável a Injeção de SQL através do parâmetro `criteria[orderBy]` dentro do corpo JSON. A aplicação não sanitiza adequadamente a entrada recebida através deste parâmetro antes de utilizá-la em consultas ao banco de dados. Um atacante autenticado com acesso ao Painel de Controle pode injetar SQL arbitrário na cláusula ORDER BY omitindo `viewState[order]` ou definindo ambos para o mesmo payload. **Recomendações** Atualize para a versão 4.16.18 do Craft ou posterior. Atualize para a versão 5.8.22 do Craft ou posterior.