Podatności Portabilis i-Diario

W Portabilis i-Diario do wersji 1.5.0 odkryto podatność na cross-site scripting (XSS) w nieznanej funkcji pliku /registros-de-conteudos-por-disciplina/ komponentu Registro das atividades. Manipulacja argumentem Registro de atividades/Conteúdos prowadzi do XSS. Atak może być przeprowadzony zdalnie. Exploit został opublikowany i może być wykorzystany. Poprawka jest zidentyfikowana jako 821342cd8d952e8bd214cb16145da785a92f5681. Należy zastosować poprawkę. Producent potwierdza, że audytowane wartości na tym ekranie są teraz sanityzowane na wyjściu: tylko minimalna lista dozwolonych podstawowych tagów formatowania jest zachowywana, a wszystkie atrybuty są usuwane, więc wstrzyknięte znaczniki <script> lub atrybuty zdarzeń są usuwane i wyświetlane jako obojętny tekst.

W Portabilis i-Diario do wersji 1.5.0 zidentyfikowano podatność na cross-site scripting (XSS) w nieznanej funkcji pliku /registros-de-conteudos-por-areas-de-conhecimento/ komponentu Registro das atividades. Manipulacja argumentem Registro de atividades/Conteúdos prowadzi do XSS. Atak może być zainicjowany zdalnie. Exploit jest publicznie dostępny i może być wykorzystany. Identyfikator poprawki to 821342cd8d952e8bd214cb16145da785a92f5681. Zaleca się zainstalowanie poprawki. Producent potwierdza, że audytowane wartości na tym ekranie są teraz sanityzowane na wyjściu: tylko minimalna lista dozwolonych podstawowych tagów formatowania jest zachowywana, a wszystkie atrybuty są usuwane, więc wstrzyknięte znaczniki <script> lub atrybuty zdarzeń są usuwane i wyświetlane jako obojętny tekst.

W systemie Portabilis i-Diario 1.5.0 znaleziono podatność XSS w funkcji pliku /diario-de-observacoes/ komponentu Observações. Manipulacja argumentem Descrição umożliwia zdalne wykonanie ataku. Exploit został opublikowany, a poprawka jest dostępna.

W Portabilis i-Diario 1.5.0 w pliku /justificativas-de-falta występuje podatność na cross-site scripting (XSS) poprzez manipulację argumentem Justificativa. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Portabilis i-Diario 1.5.0 w pliku /conteudos występuje podatność na cross-site scripting (XSS) poprzez manipulację argumentem filter[by_description]. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.

W Portabilis i-Diario 1.5.0 w pliku app/uploaders/doc_uploader.rb występuje podatność na cross-site scripting (XSS) poprzez manipulację argumentem Anexo. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.