Leerinao

**Name of the Vulnerable Software and Affected Versions** FUEL-CMS version 1.4.13 **Description** The issue allows remote attackers to run arbitrary code via post ID to the "/users/delete/2" API endpoint. This is a Cross Site Request Forgery vulnerability. **Recommendations** For FUEL-CMS version 1.4.13, as a temporary workaround, consider restricting access to the "/users/delete/2" API endpoint until a patch is available. Avoid using the post ID parameter in the affected API endpoint until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** FUEL-CMS version 1.4.13 **Description** The issue allows remote attackers to run arbitrary code via post ID to the "/permissions/delete/2" API endpoint. This is a Cross Site Request Forgery vulnerability. **Recommendations** For FUEL-CMS version 1.4.13, as a temporary workaround, consider restricting access to the "/permissions/delete/2" API endpoint until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** FUEL CMS versão 1.4.7 **Descrição** Foi detectada uma falha no FUEL CMS, na qual um invasor pode utilizar uma carga XSS e contornar um filtro por meio do endpoint da API “/fuelCM/fuel/pages/edit/1?lang=english”. **Recomendações** Para o FUEL CMS versão 1.4.7, como solução temporária, considere restringir o acesso ao endpoint da API “/fuelCM/fuel/pages/edit/1?lang=english” até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: FUEL CMS versão 1.4.7 Descrição: Foi descoberta uma falha que permite a escalada de privilégios para obter privilégios de superadministrador. Isso é feito por meio dos parâmetros `id` e `fuel id`. Recomendações: Para o FUEL CMS versão 1.4.7, como solução temporária, considere restringir o acesso aos parâmetros `id` e `fuel id` até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.