Miguel Gómez

Um problema de injeção de SQL existe no fluxo de trabalho de importação de participantes de arquivo de pesquisa e exportação de respostas SPSS. Um usuário autenticado com permissão global `surveys.create` pode importar um arquivo .lsa especialmente criado. Se o XML do participante dentro deste arquivo criar uma coluna de atributo com um nome malicioso, o LimeSurvey passa esse nome para o construtor de seleção do Yii durante o processo de exportação de respostas de uma pesquisa não anônima. Como nomes contendo parênteses são processados como expressões SQL em vez de identificadores citados, isso permite a execução de comandos SQL arbitrários com os privilégios do banco de dados da aplicação.

Akaunting 3.3.0 contains a stored cross-site scripting vulnerability in the XLSX item-import workflow. An authenticated Manager can import an item whose name contains HTML. When another authenticated user selects that item while creating a document, Akaunting places the stored name in an invoice or bill line item through Vue v-html, causing attacker-controlled markup to execute in the victim's Akaunting origin.

LimeSurvey Community Edition 7.7.0 contains a stored cross-site scripting vulnerability in the Central Participants Database blocklist control. An authenticated user with only global participantpanel:import permission can import a CSV participant id containing HTML. The import flow persists that value without model validation. When a CPDB editor opens the participant list, LimeSurvey derives ButtonGroupWidget id and name attributes from participant id and inserts them without HTML encoding, causing attacker-controlled markup to execute in the victim's authenticated LimeSurvey origin. Exploitation can access session-exposed data and issue same-origin requests with the victim's effective permissions.

Um problema de cross-site scripting armazenado existe no diálogo de confirmação de amizade. Um membro autenticado com baixos privilégios pode injetar HTML em seus campos de nome e sobrenome. Quando outro usuário autenticado visualiza o perfil e clica na opção Friends, a aplicação utiliza a função `html()` do jQuery para inserir o nome de exibição decodificado em um modal, executando a marcação controlada pelo invasor na sessão do usuário.

Um usuário autenticado com permissões globais de Surveys: create pode armazenar um valor que interrompe a execução do JavaScript no atributo `date min` de uma pergunta de Data/Hora. O problema ocorre porque o software insere esse valor armazenado em um literal JavaScript inline entre aspas simples sem aplicar a codificação de contexto JavaScript adequada, resultando em Cross-Site Scripting (XSS) armazenado, onde scripts maliciosos são permanentemente salvos no servidor e executados no navegador de outros usuários que renderizam a pergunta afetada.

Um usuário autenticado com permissões para criar pesquisas pode manipular o endpoint de patching de pesquisas REST. Embora o sistema verifique a permissão do usuário em relação ao ID da pesquisa na URL da requisição, as operações de persistência resolvem os objetos alvo usando `qid` (identificador de pergunta) ou `aid` (identificador de resposta) globais, sem verificar se esses objetos pertencem à pesquisa autorizada. Isso permite que um usuário modifique perguntas ou respostas pertencentes à pesquisa de outro usuário.

Um problema de cross-site scripting refletido existe na página de resultado da importação de CSV de participantes de pesquisa administrativa. O cross-site scripting refletido ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação, permitindo que um invasor execute scripts maliciosos no navegador da vítima.

Um problema de cross-site scripting (XSS) armazenado existe onde um usuário com a permissão delegada de não-administrador de sistema `admin manage users` pode injetar HTML ou JavaScript persistente em um título de Categoria de Campo de Perfil. O XSS armazenado ocorre quando um script malicioso é permanentemente armazenado no servidor de destino, sendo então servido a outros usuários.

Ocorre Cross-site Scripting (XSS) na interface administrativa porque o software não codifica com segurança o conteúdo controlado por um invasor proveniente de um arquivo de pesquisa `.lss` manipulado ao exibir avisos de importação.

Existe um problema na função de fórmula `index()` onde um usuário autenticado de baixo privilégio com permissões para criar ou modificar campos de fórmula pode fornecer um quarto argumento não documentado. Este argumento é tratado como um template SQL e interpolado diretamente em uma expressão PostgreSQL. O SQL injetado é executado com os privilégios da função PostgreSQL do Baserow durante o recálculo dos valores dos campos de fórmula, ignorando as permissões do usuário autenticado no aplicativo.

Um usuário autenticado com apenas a permissão global `settings:read` pode ignorar os requisitos de autorização para criar novas entradas de menu de pesquisa. Isso é feito invocando diretamente o endpoint POST '/index.php/admin/menuentries/sa/create' sem o privilégio `settings:update` necessário. Além disso, o endpoint permite o envio de IDs de menu que são normalmente restritos a superadministradores, permitindo alterações não autorizadas nos registros de navegação administrativa.

Um problema de cross-site scripting (XSS) armazenado autenticado existe no diálogo replacement-fields dentro do editor de perguntas administrativas. O cross-site scripting armazenado ocorre quando uma aplicação recebe dados de um usuário e inclui esses dados em suas respostas HTTP posteriores de maneira insegura, permitindo que um invasor execute scripts maliciosos no navegador de outros usuários.

Um problema de cross-site scripting armazenado existe no fluxo de criação de cotas de pesquisa. Um usuário autenticado com baixos privilégios que possui permissões para criar e gerenciar pesquisas pode injetar e armazenar JavaScript malicioso em uma mensagem de cota.

Um problema de Cross-Site Scripting (XSS) refletido autenticado existe no endpoint de confirmação de ativação de usuário. O parâmetro de consulta `action` é copiado para a resposta e inserido em um atributo de entrada oculto sem a devida codificação de atributo HTML. Cross-Site Scripting é uma falha que permite a um invasor injetar scripts maliciosos em páginas da web visualizadas por outros usuários.

Um problema de cross-site scripting refletido autenticado existe no endpoint do popup do editor HTML. Os parâmetros de consulta `text` e `name` são processados por um sanitizador de lista negra e, posteriormente, renderizados sem a codificação de saída apropriada ao contexto. Cross-site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis.