CVE-2026-38469

Nome do Software Vulnerável e Versões Afetadas GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449

Descrição Um problema de Cross-Site Scripting (XSS) Armazenado existe no recurso de título de bônus personalizado. Isso permite que usuários autenticados remotos injetem JavaScript arbitrário por meio do parâmetro title nos endpoints '/bonus.php' e '/user.php?action=staff tool'. O XSS Armazenado ocorre quando uma aplicação recebe dados de um usuário e inclui esses dados em suas respostas HTTP posteriores de maneira insegura.

Recomendações Atualize o GazellePW (GazellePosterWall) para uma versão que inclua o commit 86c4bedf727691b5a97af42a4864869d18446449 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints '/bonus.php' e '/user.php?action=staff tool' ou evite usar o parâmetro title até que a atualização seja aplicada.