Mklkcdg

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** Cross-Site Request Forgery (CSRF) ocorre quando uma aplicação permite que um usuário execute ações sem verificar se a requisição foi intencionalmente iniciada por ele. No arquivo `admin/sources/orders.index.inc.php`, a ação de contador de download `reset id` e a ação de cartão de pagamento armazenado `delete card` utilizam requisições GET que alteram o estado e estão omitidas do mapa de proteção em `admin/skins/default/csrf.inc.php`. Um invasor remoto pode induzir um administrador autenticado a emitir essas requisições sem um token de sessão validado, causando a redefinição não intencional de contadores de uso de downloads eletrônicos ou a exclusão de tokens de cartões de pagamento de clientes armazenados. **Recommendations** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Descrição** Um administrador autenticado sem privilégios de modificação de pedidos pode excluir notas de histórico de pedidos, removendo registros operacionais e dados de trilha de auditoria. Isso ocorre porque o manipulador delete-note no endpoint 'admin/sources/orders.index.inc.php' verifica apenas a presença dos parâmetros `order id` e `delete-note` e não exige a permissão `CC PERM DELETE` para pedidos. **Recomendações** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** A função ` errorMessage()` em `classes/gui.class.php` utiliza `strip tags` para permitir elementos de âncora em mensagens de erro, informação e aviso. No entanto, ela não filtra valores de `href` inseguros e manipuladores de eventos `onclick`. Um invasor pode fornecer dados de pesquisa ou entrada maliciosos que ignoram o filtro usando uma URI `javascript:` ou um manipulador de eventos. Quando um usuário visualiza ou interage com a âncora renderizada, o JavaScript é executado em sua sessão de navegador, o que pode levar à exposição da sessão ou a ações não autorizadas no aplicativo. **Recommendations** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** Existe um problema onde o arquivo 'admin/sources/products.index.inc.php' lê campos de texto rico da variável `$GLOBALS['RAW']['POST']` e remove apenas elementos de script antes de armazená-los e renderizá-los via templates Smarty. Um administrador com privilégios de edição de produtos pode ignorar esse filtro utilizando atributos de manipuladores de eventos, conteúdo SVG ou URIs de javascript:. Isso leva à execução persistente de JavaScript quando um visitante da loja ou outro administrador visualiza o conteúdo do produto, resultando potencialmente na exposição da sessão ou ações não autorizadas no contexto do navegador. **Recommendations** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** Existe um problema no endpoint `admin/sources/maintenance.index.inc.php` onde valores de nomes de tabela controlados pelo administrador são inseridos em instruções ALTER TABLE, CHECK TABLE e ANALYZE TABLE sem a devida validação de identificadores ou escape de crases (backticks) incorporadas. Um administrador autenticado pode encerrar o identificador citado usando uma crase de fechamento para injetar SQL estrutural, o que pode comprometer a confidencialidade, integridade e disponibilidade do banco de dados dentro dos privilégios da aplicação. **Recommendations** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** Existe um problema no software de ecommerce onde o endpoint 'admin/sources/settings.index.inc.php' concatena diretamente o parâmetro POST `download expire` em uma instrução UPDATE bruta para CubeCart downloads sem validação numérica. Um administrador autenticado pode fornecer um valor delimitado por vírgula para alterar a cláusula SET, pois a sanitização HTML não neutraliza a sintaxe SQL. Isso permite a manipulação de colunas do banco de dados e outros dados acessíveis dentro dos privilégios do banco de dados da aplicação através de SQL Injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. **Recommendations** Atualizar para a versão 6.7.5.

**Nome do Software Vulnerável e Versões Afetadas** CubeCart versões anteriores a 6.7.5 **Description** Existe uma falha de bypass de autorização nas ferramentas de GDPR localizadas no arquivo `admin/sources/customers.gdpr.inc.php`. O sistema depende do acesso de nível de página `CC PERM READ` e não exige a permissão `CC PERM DELETE` para os comandos `purge`, `no order purge` e `delete guests`. Consequentemente, um administrador autenticado com privilégios de apenas leitura de clientes pode invocar diretamente essas ações de backend para ignorar as restrições da interface e excluir irreversivelmente registros de clientes, contas sem pedidos ou contas de convidados, comprometendo a integridade e a disponibilidade dos dados. **Recommendations** Atualizar para a versão 6.7.5.