Miguel Gomez

**Nome do Software Vulnerável e Versões Afetadas** LimeSurvey Community Edition versão 7.0.5 **Description** Um problema de cross-site scripting armazenado existe na página de administração de Entradas do Menu da Pesquisa. Um usuário autenticado com a permissão `global settings:read` pode criar uma entrada de menu de pesquisa contendo dados maliciosos. Esses dados são armazenados no campo `surveymenu entries.data` e posteriormente inseridos em um atributo de título HTML com aspas simples sem a codificação apropriada. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** HumHub Community Edition versões 1.18.4 e 1.18.4-pl1 **Description** Um problema de Cross-Site Scripting (XSS) armazenado existe no fluxo de renderização de confirmação do oEmbed. XSS é uma falha que permite a um invasor injetar scripts maliciosos em conteúdos que são então servidos a outros usuários. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** HumHub Community Edition versão 1.18.4 **Description** Um problema de cross-site scripting refletido existe no fluxo de solicitação de associação de Espaço. Um invasor pode injetar configurações de botão maliciosas no parâmetro de query-string `options` do endpoint 'space/membership/request-membership-form'. Ao enganar um não membro autenticado para enviar o formulário de solicitação de associação, o servidor retorna JavaScript contendo o código controlado pelo invasor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** HumHub versão 1.18.4 **Description** Um problema de cross-site scripting armazenado existe no fluxo de notificação de exclusão de comentários. Um administrador de Espaço pode explorar isso ao excluir o comentário de outro usuário e inserir HTML ou JavaScript no motivo da exclusão ao optar por notificar o autor original. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** LimeSurvey Community Edition versão 7.0.5 **Description** Um problema de cross-site scripting refletido autenticado existe no endpoint do popup do editor HTML. Os parâmetros de consulta `text` e `name` são processados por um sanitizador de lista negra e, posteriormente, renderizados sem a codificação de saída apropriada ao contexto. Cross-site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Atualize o LimeSurvey Community Edition para uma versão posterior à 7.0.5. Como mitigação temporária, restrinja o acesso ao endpoint do popup do editor HTML.

**Nome do Software Vulnerável e Versões Afetadas** LimeSurvey Community Edition versão 7.0.5 **Descrição** Uma injeção de SQL autenticada existe no fluxo de trabalho do Banco de Dados Central de Participantes (CPDB). Este problema ocorre durante o processo de cópia de tokens de participantes de pesquisa para a lista central de participantes. A injeção de SQL é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ou a manipulação do banco de dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.