CVE-2024-55451

UJCMS versão 9.6.3

Existe uma vulnerabilidade de Stored Cross-Site Scripting (XSS) na funcionalidade de upload e visualização de arquivos SVG autenticados. Isso decorre da sanitização insuficiente de atributos incorporados nos arquivos SVG enviados. Quando um arquivo SVG criado com intenção maliciosa é visualizado por outros usuários do backend, isso permite que invasores autenticados executem JavaScript arbitrário no contexto dos navegadores desses usuários, podendo levar ao roubo de tokens confidenciais.

Para a versão 9.6.3 do UJCMS, como solução temporária, considere desativar a funcionalidade de upload de arquivos SVG até que uma correção esteja disponível. Restrinja o acesso à funcionalidade afetada para minimizar o risco de exploração. Evite usar o recurso de upload de SVG vulnerável no backend até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.