CVE-2026-113712

Nome do Software Vulnerável e Versões Afetadas Cachet versões anteriores a 2.4.2 Cachet versão 3

Description Um problema de Cross-Site Scripting (XSS) armazenado existe no formulário de criação de incidentes. Um invasor autenticado pode injetar HTML ou JavaScript malicioso nos campos Incident Name e Incident Message no endpoint /dashboard/incidents/. Isso ocorre porque o sistema não sanitiza adequadamente os atributos de manipuladores de eventos HTML. O código injetado é executado no navegador de qualquer usuário que visualize a página de status pública, o que pode levar ao roubo de tokens de sessão, roubo de tokens XSRF e a tomada total de controle de contas, incluindo contas de administrador.

Recommendations Para versões anteriores a 2.4.2, aplique as correções fornecidas nos commits 57b44a8bac0b250b0d5751e93e0349070d14606e e 23adbb88ffa819f92be4a905ff1d812670d980a2 em cachethq/core. Para a versão 3, restrinja o acesso ao endpoint /dashboard/incidents/ ou evite usar os campos Incident Name e Incident Message até que uma correção seja aplicada. Como medida de mitigação temporária, restrinja a capacidade dos usuários de criar incidentes através do endpoint /dashboard/incidents/.