Mohammed Hisam

O endpoint de login headless permite a navegação forçada, o que pode levar à divulgação da chave de API do cliente miniOrange armazenada no site para usuários não autenticados. Este problema ocorre quando o recurso Headless 2FA é ativado por meio da permissão `miniorange 2fa headless`.

Existe um problema de bypass de autenticação devido à validação insuficiente de entradas fornecidas pelo usuário. Esta falha permite que um invasor ignore o processo de verificação durante o registro do usuário, podendo levar ao sequestro de contas.

Um problema de Cross-site Scripting (XSS) refletido não autenticado existe porque o módulo não filtra suficientemente a entrada fornecida pelo usuário antes de exibi-la durante a geração de páginas web.