PT-2026-82501 · Flowintel · Flowintel
CVSS v4.0
5.1
Média
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
Nome do Software Vulnerável e Versões Afetadas
Flowintel versões 3.3.0 e posteriores
Description
Ocorre Cross-Site Scripting (XSS) armazenado quando blocos Mermaid em notas de caso são renderizados sem a neutralização suficiente de marcações controladas por atacantes. Um atacante com permissões para criar ou editar notas pode armazenar um payload Mermaid manipulado que executa JavaScript no navegador de qualquer usuário que visualize a nota de caso afetada.
Recommendations
Atualize o Flowintel para uma versão onde a detecção de Mermaid e a codificação HTML sejam implementadas para o conteúdo do token e a lógica de encapsulamento seja movida para o início da inicialização da página.
Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Flowintel