Mys7Ic

**Nome do software vulnerável e versões afetadas** Versões do Avo 2.46.0 a 3.2.3 **Descrição** Foi identificada uma vulnerabilidade de script entre sites (XSS) armazenada no campo `key value` do Avo. Essa vulnerabilidade poderia permitir que um invasor executasse código JavaScript arbitrário no navegador da vítima. O valor de `key value` é inserido diretamente no código HTML e não é devidamente sanitizado antes de ser inserido no código HTML. Essa vulnerabilidade poderia ser usada para roubar informações confidenciais das vítimas, que poderiam ser utilizadas para sequestrar as contas das vítimas ou redirecioná-las para sites maliciosos. **Recomendações** Para as versões 2.46.0 a 3.2.3 do Avo, atualize para a versão 3.2.4 ou 2.47.0 para resolver o problema. Como solução temporária, considere desativar o campo `key value` até que um patch esteja disponível. Restrinja o acesso ao campo `key value` para minimizar o risco de exploração. Evite usar o campo `key value` nas versões afetadas do Avo até que o problema seja resolvido.

**Name of the Vulnerable Software and Affected Versions** Avo (affected versions not specified) **Description** The issue concerns some Avo fields being vulnerable to Cross Site Scripting (XSS) when rendering HTML-based content. Attackers need form edit privilege to exploit this vulnerability, but the results are stored, and no specific timing is required. This can be exploited by an attacker to store JavaScript code in any trix field by intercepting the request and modifying the post data. The impact of this vulnerability is that attackers may be able to gain access to accounts that require special protection, such as administrators of the web service. **Recommendations** To resolve the issue, users are advised to configure CSP headers for their application and to limit untrusted user access as a mitigation. Additionally, the content of a field that contains HTML code should be sanitized using the according Rails helper, which uses a whitelist of known-safe tags and attributes. This security consideration should also be applied to the `as html` attribute because it may contain user-controlled input. As a temporary workaround, consider disabling the trix field until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.