Onurcan Genç

A neutralização incorreta de entrada durante a geração de páginas web permite o Cross-Site Scripting (XSS) Armazenado, uma condição onde scripts maliciosos são armazenados permanentemente no servidor de destino.

Um problema de Injeção de Template do Lado do Servidor (SSTI) existe no motor de temas. A plataforma renderiza templates Twig carregados sem um sandbox ou restrições estritas de funções. Usuários autenticados com permissões para criar ou carregar temas podem explorar isso para executar código arbitrário no servidor de hospedagem (Execução Remota de Código) ou acessar arquivos de sistema e configurações restritas.

A session fixation issue exists in Rolantis Information Technologies Agentis. This allows an attacker to set or manipulate a user's session identifier before authentication, potentially leading to session hijacking.

Name of the Vulnerable Software and Affected Versions: Decap CMS versions through 3.8.3 Description: A Cross Site Scripting (XSS) vulnerability exists in Decap CMS. Input fields, including `body`, `tags`, `title`, and `description`, are not properly sanitized before being rendered in the content preview pane. This allows an attacker to inject arbitrary JavaScript that executes when a user views the preview panel. The vulnerability affects multiple input vectors and does not require user interaction beyond viewing the affected content. Recommendations: Update Decap CMS to a version later than 3.8.3.