Charles Bickel

**Nome do software vulnerável e versões afetadas** openBaraza HCM versão 3.1.6 **Descrição** A vulnerabilidade decorre da falha em neutralizar adequadamente entradas controladas pelo usuário, permitindo que um invasor remoto não autenticado realize um ataque de cross-site scripting (XSS) armazenado contra um usuário administrativo. Esse ataque pode ser lançado a partir de vários endpoints, incluindo “hr/subscription.jsp”, “hr/application.jsp” e “hr/index.jsp” (com view=). **Recomendações** Para o openBaraza HCM versão 3.1.6, considere desativar o acesso aos endpoints afetados “hr/subscription.jsp”, “hr/application.jsp” e “hr/index.jsp” (com view=) até que um patch esteja disponível para prevenir ataques de cross-site scripting (XSS) armazenado. Restrinja a entrada nesses endpoints para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.