Azrultech

**Nome do software vulnerável e versões afetadas** Versões do Kirby anteriores à 3.5.8 **Descrição** O problema diz respeito ao campo “writer” no Kirby, que armazena conteúdo formatado como código HTML e não escapa caracteres especiais de HTML contra ataques de cross-site scripting (XSS). Isso permite que código HTML malicioso seja injetado no arquivo de conteúdo e executado nos navegadores dos visitantes do site e dos usuários conectados. A vulnerabilidade pode ser explorada por invasores que fazem parte do grupo de usuários autenticados do Painel, podendo levar à escalada de privilégios caso obtenham acesso à sessão de um usuário administrador no Painel. O número estimado de dispositivos potencialmente afetados não foi especificado. **Recomendações** Para versões anteriores à 3.5.8, atualize para o Kirby 3.5.8 ou uma versão posterior para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao campo de edição para usuários autenticados do Painel, a fim de minimizar o risco de exploração. Se possível, evite usar o campo de edição até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Kirby anteriores à 3.5.8 **Descrição** O problema diz respeito ao campo de blocos do Kirby, que armazena dados estruturados para cada bloco, e esses dados são usados em trechos de código (snippets) para converter blocos em HTML para uso em modelos. O trecho de código padrão para o bloco de imagem não escapava caracteres especiais de HTML, tornando possível incluir código HTML malicioso nos campos source, alt e link do bloco de imagem. Esse código seria então exibido na interface do site e executado nos navegadores dos visitantes do site e dos usuários conectados. Os invasores devem ser usuários autenticados do Painel para explorar essa vulnerabilidade. A vulnerabilidade permite ataques de cross-site scripting (XSS), que podem executar código JavaScript dentro do front-end do site ou da sessão do Painel de outros usuários. **Recomendações** Para versões anteriores à 3.5.8, atualize para a versão 3.5.8 do Kirby ou uma versão posterior para corrigir a vulnerabilidade. Como solução temporária, considere escapar caracteres especiais HTML na saída do snippet padrão do bloco de imagem ou usar um snippet de bloco personalizado que escape os valores impressos ou não os utilize. Restrinja o acesso ao campo de blocos, especialmente ao bloco de imagem, para minimizar o risco de exploração. Evite usar os campos `source`, `alt` e `link` no bloco de imagem até que o problema seja resolvido.