Milo2012

O módulo ACL contém um problema de cross-site scripting refletido. Isso ocorre quando entradas não codificadas são injetadas em blocos de script inline através do parâmetro `module id` nos endpoints 'acl/index' ou 'acl/acl'. Um invasor pode usar isso para executar JavaScript em sessões autenticadas, potencialmente roubando cookies de sessão não-HttpOnly ou modificando a configuração de ACL.

Atacantes autenticados podem executar JavaScript injetando payloads no parâmetro POST `searchEleNo` do endpoint 'application/index/search'. Isso ocorre porque a aplicação não codifica atributos HTML em auto-suggest.phtml, permitindo a injeção de manipuladores de eventos que são disparados na inserção do DOM. Isso pode levar ao roubo de dados de pacientes e cookies de sessão não-HttpOnly.

Um problema de cross-site scripting refletido existe no endpoint de auto-sugestão do módulo Application. O endpoint `application/index/search` reflete o parâmetro POST `searchMode` sem codificação em um atributo onClick delimitado por aspas simples. Isso permite que um invasor execute JavaScript arbitrário na sessão de um usuário autenticado ao induzi-lo a enviar um payload específico, podendo levar ao roubo de cookies de sessão ou à divulgação de dados de pacientes.

O módulo Eye Exam (eye mag) contém um problema de cross-site scripting armazenado. Isso ocorre quando administradores injetam JavaScript por meio de títulos não codificados na opção de lista `Eye defaults`. Um invasor pode armazenar um título manipulado via endpoint 'edit list.php' que rompe uma string jQuery em 'eye base.php', resultando na execução de scripts na sessão de qualquer usuário autenticado que clique em Defaults.