Naoya Miyaguchi

O problema está relacionado à validação inadequada de entradas, permitindo que um invasor remoto autenticado execute código arbitrário ao enviar um arquivo SVG especialmente criado.

A stored cross-site scripting vulnerability exists, exploiting a behavior of the XSS Filter. If this issue is exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product.

A stored cross-site scripting issue exists in the event handlers of the `pre` tags. If exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product.

A stored cross-site scripting issue exists in the anchor tag of GROWI. If exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product.

A stored cross-site scripting issue exists when processing MathJax. This could allow an arbitrary script to be executed on the user's web browser if the vulnerability is exploited.

A stored cross-site scripting issue exists in the App Settings (/admin/app) page, the Markdown Settings (/admin/markdown) page, and the Customize (/admin/customize) page. This could allow an arbitrary script to be executed on the web browser of the user who accessed the site using the product.

**Nome do software vulnerável e versões afetadas: GROWI versões 4.2.0 a 4.2.7 Descrição: O problema está relacionado a uma vulnerabilidade de cross-site scripting refletido devido à verificação insuficiente dos parâmetros de consulta de URL. Isso permite que invasores remotos injetem um script arbitrário por meio de vetores não especificados. Recomendações: Para as versões 4.2.0 a 4.2.7, atualize para uma versão que inclua a correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: GROWI, versões 4.2.0 a 4.2.7 Descrição: Uma vulnerabilidade de cross-site scripting armazenada na página de administração do GROWI permite que invasores remotos autenticados injetem um script arbitrário por meio de vetores não especificados. Recomendações: Para as versões 4.2.0 a 4.2.7, atualize para uma versão que contenha uma correção para esta vulnerabilidade, a fim de evitar a exploração.