CVE-2026-93454

Nome do Software Vulnerável e Versões Afetadas Aureus ERP versões anteriores a 1.6.1

Description O plugin de Contabilidade (Accounting) não sanitiza o campo de nota de Termo de Pagamento, renderizando-o como HTML bruto. Usuários autenticados com permissão de criação de termo de pagamento podem enviar JavaScript arbitrário para o endpoint payment-terms. Este script é armazenado no banco de dados e executado nos navegadores de todos os usuários que visualizarem o registro de Termo de Pagamento afetado, resultando em uma condição de Cross-Site Scripting (XSS) armazenado.

Recommendations Atualize para uma versão posterior à 1.6.0. Restrinja o acesso ao endpoint payment-terms para usuários que não necessitem estritamente de permissões de criação de termos de pagamento.