Incibe

**Nome do Software Vulnerável e Versões Afetadas** Graylog versões 2.2.3 **Descrição** Existe uma vulnerabilidade de Cross-Site Scripting (XSS) Refletido no console da Interface Web do Graylog. Isso ocorre devido à sanitização e ao escape insuficientes da saída HTML. A vulnerabilidade permite que um atacante injete e execute código JavaScript arbitrário quando um usuário visita uma URL especialmente elaborada. A exploração pode permitir a execução de scripts no navegador da vítima e a manipulação limitada do contexto da sessão do usuário afetado. O endpoint `/system/nodes/` é afetado, pois inclui segmentos da URL diretamente na resposta sem aplicar a codificação de saída. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Performance Evaluation (EDD) application versions (affected versions not specified) **Description** An out-of-band SQL injection vulnerability (OOB SQLi) exists in the Performance Evaluation (EDD) application developed by Gabinete Técnico de Programación. Exploitation of this issue involves the `txAny` parameter within the ''/evaluacion competencias autoeval list.aspx'' endpoint, potentially allowing an attacker to extract sensitive information from the database through external channels. The application does not directly return the extracted data, which compromises the confidentiality of the stored information. OOB SQLi is a technique where the results of a SQL query are sent to an external server controlled by the attacker, rather than being displayed within the application itself. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.