Pavan Saxena

Um problema de Cross-Site Scripting (XSS) armazenado existe na visualização de detalhes do contato. Campos personalizados de contato do tipo HTML são renderizados sem a sanitização da saída, permitindo que um usuário ou integração armazene um payload de script por meio da edição de contatos, da API de contatos ou de envios de formulários mapeados para o campo. Quando um administrador ou outro usuário visualiza a página de detalhes do contato afetado, o script é executado em sua sessão de navegador. Isso pode levar a ações administrativas não autorizadas, incluindo a criação de novas contas de administrador, modificação de configurações do sistema ou acesso não autorizado a dados de campanhas e contatos.

Um usuário não autenticado posicionado no caminho da rede pode ler ou alterar dados enviados pelo conector quando a autenticação Kerberos é utilizada com o Hypertext Transfer Protocol (HTTP) Event Collector no Splunk Enterprise. Isso ocorre porque o caminho de autenticação Kerberos não aplica as opções de validação de certificado configuradas ao construir o cliente HTTP.

Ocorre a filtragem insuficiente de texto fornecido pelo usuário antes de ser gravado em um arquivo de padrão PHP gerado. Isso permite que um administrador de subsítio multisite, que possui a capacidade de realizar essa ação, mas está restrito de editar arquivos PHP, injete e execute código PHP arbitrário no servidor.