CVE-2026-120514

Nome do Software Vulnerável e Versões Afetadas Zephyr Project Manager versões anteriores a 3.3.210

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Ao injetar scripts web arbitrários através do parâmetro zpm profile picture, a carga útil é armazenada no perfil Zephyr do atacante. O script é executado na sessão do navegador de um Administrador quando a pesquisa de menção de preenchimento automático renderiza o campo de avatar. Este processo requer uma ação de um administrador para ser acionado.

Recomendações Atualize para uma versão posterior à 3.3.209. Evite usar o parâmetro zpm profile picture até que a atualização seja aplicada.