Miguel Gomez

Um problema de cross-site scripting armazenado existe na página de administração de Entradas do Menu da Pesquisa. Um usuário autenticado com a permissão `global settings:read` pode criar uma entrada de menu de pesquisa contendo dados maliciosos. Esses dados são armazenados no campo `surveymenu entries.data` e posteriormente inseridos em um atributo de título HTML com aspas simples sem a codificação apropriada.

Um problema de Cross-Site Scripting (XSS) armazenado existe no fluxo de renderização de confirmação do oEmbed. XSS é uma falha que permite a um invasor injetar scripts maliciosos em conteúdos que são então servidos a outros usuários.

Um problema de cross-site scripting refletido existe no fluxo de solicitação de associação de Espaço. Um invasor pode injetar configurações de botão maliciosas no parâmetro de query-string `options` do endpoint 'space/membership/request-membership-form'. Ao enganar um não membro autenticado para enviar o formulário de solicitação de associação, o servidor retorna JavaScript contendo o código controlado pelo invasor.

Um problema de cross-site scripting armazenado existe no fluxo de notificação de exclusão de comentários. Um administrador de Espaço pode explorar isso ao excluir o comentário de outro usuário e inserir HTML ou JavaScript no motivo da exclusão ao optar por notificar o autor original.

Um problema de cross-site scripting refletido autenticado existe no endpoint do popup do editor HTML. Os parâmetros de consulta `text` e `name` são processados por um sanitizador de lista negra e, posteriormente, renderizados sem a codificação de saída apropriada ao contexto. Cross-site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis.

Uma injeção de SQL autenticada existe no fluxo de trabalho do Banco de Dados Central de Participantes (CPDB). Este problema ocorre durante o processo de cópia de tokens de participantes de pesquisa para a lista central de participantes. A injeção de SQL é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ou a manipulação do banco de dados.