CVE-2026-10032

Nome do Software Vulnerável e Versões Afetadas @a2ui/web core (versões afetadas não especificadas)

Description A função openUrl() não valida o esquema da URI antes de passar uma URL para window.open(). Um agente malicioso pode fornecer uma URI javascript: através do argumento url da ação functionCall de um componente Button. Isso permite que JavaScript arbitrário seja executado na origem do navegador da aplicação vítima quando o botão é clicado, resultando em Cross-Site Scripting (XSS) armazenado ou refletido, que é uma vulnerabilidade onde scripts maliciosos são injetados em sites normalmente confiáveis. Este problema ocorre com configurações padrão, pois o Basic Catalog é habilitado por padrão.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso do argumento url dentro da ação functionCall de componentes Button para evitar a injeção de URIs javascript:.