Mr-Neutr0N

**Nome do Software Vulnerável e Versões Afetadas** CleverTap Web SDK versões 1.15.2 e anteriores **Descrição** O CleverTap Web SDK está suscetível a uma vulnerabilidade de Cross-Site Scripting (XSS) através da funcionalidade `window.postMessage`. A função `handleCustomHtmlPreviewPostMessageEvent`, localizada em `src/util/campaignRender/nativeDisplay.js`, não valida adequadamente a origem da mensagem utilizando o método `includes()`, permitindo que atacantes contornem as verificações de segurança ao utilizar um subdomínio. **Recomendações** Atualize o CleverTap Web SDK para uma versão posterior à 1.15.2.

**Nome do Software Vulnerável e Versões Afetadas** CleverTap Web SDK versões 1.15.2 e anteriores **Descrição** O CleverTap Web SDK está suscetível a um problema de Cross-Site Scripting (XSS) baseado em DOM. Isso ocorre devido à validação de origem insuficiente dentro do módulo Visual Builder, especificamente no arquivo `src/modules/visualBuilder/pageBuilder.js` (linhas 56-60). O método `includes()` é utilizado para verificar a URL de origem, mas pode ser contornado com um subdomínio manipulado. A vulnerabilidade é acionada através da função `window.postMessage`. **Recomendações** Atualize o CleverTap Web SDK para uma versão posterior à 1.15.2.