CVE-2026-7004

Nome do Software Vulnerável e Versões Afetadas WIT SynApps Runtime versões anteriores a 1.4.12

Descrição Existe um problema de cross-site scripting refletido pré-autenticação onde atacantes não autenticados podem injetar e executar JavaScript arbitrário. Isso é feito enviando um parâmetro de consulta LINK manipulado para o endpoint '/System/Session-1'. A exploração pode levar à coleta de credenciais, manipulação do fluxo de login, acesso a dados visíveis no navegador e a execução de requisições de mesma origem para endpoints do controlador, incluindo um primitivo de troca de origem contra o controlador interno em cenários de Cloud RIA.

Recomendações Atualize o WIT SynApps Runtime para a versão 1.4.12 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/System/Session-1' ou evite o uso do parâmetro LINK.