CVE-2021-20115

Versões do TCExam anteriores à 14.8.4

Existe uma vulnerabilidade de cross-site scripting refletido devido à validação inadequada dos caminhos fornecidos nos parâmetros f, d e dir no arquivo tce filemanager.php. Isso pode causar um XSS refletido por meio da saída não sanitizada do caminho fornecido. Um invasor poderia criar um link malicioso que, se acionado por um administrador, poderia resultar no sequestro da sessão da vítima ou na execução de ações em seu nome.

Para versões anteriores à 14.8.4, atualize para a versão 14.8.4 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo tce filemanager.php para minimizar o risco de exploração. Evite usar os parâmetros f, d e dir no endpoint da API afetado até que o problema seja resolvido.