CVE-2026-40038

Name of the Vulnerable Software and Affected Versions Pachno versão 1.0.6

Description Um problema de cross-site scripting armazenado permite que invasores executem código HTML e scripts arbitrários ao injetar cargas maliciosas em parâmetros POST. A falha existe devido à sanitização inadequada através de chamadas Request::getRawParameter() ou Request::getParameter(). Scripts podem ser injetados através dos parâmetros value, comment body, article content, description e message em múltiplos controladores, sendo então armazenados no banco de dados e executados nas sessões de navegador dos usuários.

Recommendations Como medida paliativa temporária, restrinja ou sanitize o uso dos parâmetros value, comment body, article content, description e message em requisições POST até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.