Squinard1478

**Nome do Software Vulnerável e Versões Afetadas** Vendure versões anteriores a 3.6.5 **Descrição** Existe um cross-site scripting (XSS) armazenado no painel administrativo devido à remoção insegura de HTML no componente `RichTextDescriptionCell` em `packages/dashboard/src/lib/components/shared/table-cell/order-table-cell-components.tsx`. O componente tenta remover a marcação atribuindo uma `description` controlada por um administrador ao `innerHTML` de um elemento ativo e, em seguida, lendo o `textContent`. Esse processo permite que marcações de recursos ativos, como `<img src=x onerror=...>`, executem manipuladores de eventos durante a atribuição antes que o texto seja lido. Um administrador com menos privilégios pode armazenar marcações maliciosas nos campos de `description` das listas de Produtos, Coleções, Promoções, Métodos de Pagamento ou Métodos de Envio. O script é executado quando outro administrador visualiza a linha afetada, podendo comprometer a sessão do administrador e permitir ações administrativas entre privilégios ou canais diferentes. **Recomendações** Atualize para a versão 3.6.5. Como medida paliativa temporária, restrinja as permissões de escrita para o campo `description` nas listas de Produtos, Coleções, Promoções, Métodos de Pagamento e Métodos de Envio apenas para administradores confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Vendure versões anteriores a 3.7.0 **Description** Um problema de sequestro de conta existe na plataforma de comércio headless onde a função `ExternalAuthenticationService.createCustomerAndUser()` vincula um novo método de autenticação externa a uma conta de usuário existente baseando-se apenas na correspondência do `emailAddress`, sem verificar se a propriedade do e-mail foi confirmada pelo provedor. Em ambientes que utilizam uma `AuthenticationStrategy` personalizada que encaminha e-mails não verificados, um invasor pode usar o endereço de e-mail de uma vítima por meio de um provedor externo para vincular sua própria identidade à conta da vítima. Isso permite que o invasor acesse informações pessoais, endereços e pedidos, bem como modifique detalhes da conta ou realize pedidos em nome da vítima. Este problema afeta especificamente implantações que utilizam estratégias de autenticação externa ou social que não exigem estritamente a comprovação de propriedade do e-mail pelo provedor. **Recommendations** Atualize para a versão 3.7.0. Como mitigação temporária, restrinja o uso de implementações de `AuthenticationStrategy` personalizadas que não garantam o status `verified` do `emailAddress` encaminhado.