Zbigniew Piotrak

**Nome do Software Vulnerável e Versões Afetadas** OutSystems Service Center versões anteriores a 11.41.2 OutSystems Lifetime versões anteriores a 11.28.2.3955 **Description** O OutSystems Service Center está sujeito a um problema de Cross-Site Scripting (XSS) baseado em DOM, onde um invasor com baixos privilégios pode executar código JavaScript ao fazer o upload de um arquivo com um nome de arquivo malicioso. Isso ocorre em qualquer local onde arquivos sejam anexados para upload no servidor. O OutSystems Lifetime contém uma falha de bypass de autorização envolvendo o parâmetro `ApplicationID`. Isso permite que qualquer usuário autenticado acesse o Log de Alterações (Change Log), expondo nomes de aplicativos e ações realizadas por outros usuários. **Recommendations** Atualize o OutSystems Service Center para a versão 11.41.2. Atualize o OutSystems Lifetime para a versão 11.28.2.3955.

**Nome do Software Vulnerável e Versões Afetadas** Avada (Fusion) Builder plugin for WordPress versões anteriores a 3.15.6 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários através do parâmetro `Module Title`. Esses scripts são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o plugin Avada (Fusion) Builder para WordPress para a versão 3.15.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OutSystems Lifetime versões anteriores a 11.28.2.3955 **Description** Existe uma falha de bypass de autorização onde um usuário autenticado pode manipular o parâmetro `ApplicationID` para obter acesso não autorizado. Isso permite que o usuário leia o Registro de Alterações (Change Log), que contém ações realizadas por outros usuários e os nomes de qualquer aplicação. **Recommendations** Atualizar para a versão 11.28.2.3955.

**Nome do Software Vulnerável e Versões Afetadas** Tema Betheme para WordPress em versões anteriores à 28.1.7 **Descrição** O tema está suscetível a Cross-Site Scripting Armazenado através do parâmetro `page title`. A sanitização de entrada e o escape de saída insuficientes nos breadcrumbs do tema permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. **Recomendações** Atualize para a versão 28.1.7 ou posterior.