CVE-2021-28001

**Nome do software vulnerável e versões afetadas:

Textpattern CMS versão 4.8.4

Descrição:

Foi descoberta uma vulnerabilidade de cross-site scripting no parâmetro Comments, permitindo que invasores remotos executem código arbitrário por meio de uma carga maliciosa inserida no campo da URL. A vulnerabilidade é acionada quando usuários acessam o endpoint da API “https://site.com/articles/welcome-to-your-site#comments-head”.

Recomendações:

Para o Textpattern CMS versão 4.8.4, como solução temporária, considere restringir o acesso ao parâmetro Comments até que uma correção esteja disponível. Evite usar o parâmetro Comments no endpoint da API afetado até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.