Kasper Karlsson

**Name of the Vulnerable Software and Affected Versions** Apache Syncope versions 3.0 through 3.0.15 Apache Syncope versions 4.0 through 4.0.3 **Description** A reflected cross-site scripting (XSS) issue exists in the Enduser Login page of Apache Syncope. An attacker could potentially steal user credentials by tricking a legitimate user into clicking a malicious link and logging into Syncope Enduser. The attack involves manipulating the login process to execute malicious scripts within the context of a user's browser. **Recommendations** Upgrade to version 3.0.16 Upgrade to version 4.0.4

**Nome do software vulnerável e versões afetadas** Versões do Syncope anteriores à 3.0.9 **Descrição** A vulnerabilidade permite que um invasor contorne a sanitização de HTML usando tags HTML incompletas ao editar objetos no Syncope Console. Isso possibilita a injeção de cargas XSS armazenadas, que podem ser acionadas para outros usuários durante o uso normal do aplicativo. Além disso, cargas XSS podem ser injetadas no Syncope Enduser ao editar “Informações Pessoais” ou “Solicitações do Usuário”, e essas cargas podem ser acionadas para administradores no Syncope Console, permitindo o sequestro de sessão. **Recomendações** Para versões anteriores à 3.0.9, atualize para a versão 3.0.9 para corrigir a vulnerabilidade. Como solução temporária, considere restringir a edição de objetos no Syncope Console e limitar o acesso às seções “Informações Pessoais” e “Solicitações do Usuário” no Syncope Enduser para minimizar o risco de exploração.