CVE-2025-41349

Nome do Software Vulnerável e Versões Afetadas WinPlus versão 24.11.27

Descrição Existe uma vulnerabilidade de Cross-site Scripting (XSS) armazenado na versão 24.11.27 do WinPlus devido à validação insuficiente de dados fornecidos pelo usuário. Isso permite que um atacante remoto envie uma consulta maliciosa a um usuário autenticado, potencialmente roubando os dados da sessão do cookie. A vulnerabilidade é acionada ao enviar uma requisição POST com um payload manipulado através do parâmetro descripcion para o endpoint da API ''/WinplusPortal/ws/sWinplus.svc/json/savesolpla post''.

Recomendações Aplique validação e sanitização de entrada ao parâmetro descripcion no endpoint da API ''/WinplusPortal/ws/sWinplus.svc/json/savesolpla post''.