Nurmurodov Asadbek

**Nome do Software Vulnerável e Versões Afetadas** picocms/Pico versões anteriores a 2.1.5 **Description** Um problema de injeção de cabeçalho de host permite que um invasor remoto não autenticado controle a origem dos ativos JavaScript e CSS carregados pelo tema padrão. Quando o `base url` não está definido, a função `getBaseUrl()` em lib/Pico.php constrói a URL base usando os cabeçalhos de requisição `Host`, `X-Forwarded-Host`, `X-Forwarded-Proto` e `X-Forwarded-Port` não validados. Isso faz com que `theme url`, `assets url` e `plugins url` apontem para um domínio controlado pelo invasor, levando a aplicação a carregar scripts e folhas de estilo dessa fonte externa. **Recommendations** Atualize o picocms/Pico para a versão 2.1.5 ou posterior. Configure o `base url` para um valor estático para evitar que a aplicação dependa de cabeçalhos de requisição para determinar a URL base.

**Nome do Software Vulnerável e Versões Afetadas** Bludit versão 4.0.0-beta **Description** Um problema de cross-site scripting (XSS) armazenado permite que um usuário autenticado com baixos privilégios (função de Autor) injete JavaScript arbitrário. Isso ocorre quando um arquivo SVG manipulado é enviado como logotipo do site através do endpoint '/admin/ajax/logo-upload' em `bl-kernel/ajax/logo-upload.php`. O sistema move o arquivo enviado para a raiz da web usando a função `Filesystem::mv()` sem invocar `sanitizeSVG()` ou `transformImage()`, embora o SVG esteja presente nas listas de permissão `ALLOWED IMG EXTENSION` e `ALLOWED IMG MIMETYPES`. Consequentemente, uma tag de script armazenada no SVG é executada no navegador de qualquer usuário que carregar o logotipo. **Recommendations** Como medida de mitigação temporária, restrinja o uso do endpoint '/admin/ajax/logo-upload' ou remova o SVG das listas de permissão `ALLOWED IMG EXTENSION` e `ALLOWED IMG MIMETYPES`. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.