Wasfyelbaz

**Nome do Software Vulnerável e Versões Afetadas** FACTION versões anteriores a 1.8.3 **Description** Ocorre cross-site scripting (XSS) armazenado por meio de nomes de arquivos de anexo em fluxos de visualização de arquivos de verificação de remediação. Valores de nomes de arquivos fornecidos pelo usuário são persistidos e renderizados em contextos de HTML e atributos sem codificação de saída, permitindo que JavaScript controlado por um invasor seja executado no navegador de qualquer usuário que abra as visualizações de verificação ou remediação afetadas. Como a carga útil é armazenada no servidor, a execução é persistente e pode impactar contas privilegiadas. **Recommendations** Atualizar para a versão 1.8.3.

FACTION is a PenTesting Report Generation and Collaboration Framework. Prior to 1.8.3, Faction is vulnerable to stored cross-site scripting (XSS) via attachment filenames in assessment file preview flows. User-supplied filename values are persisted and later rendered into HTML/attribute contexts without output encoding, allowing attacker-controlled JavaScript to execute in the browser of any user who views the affected page. Because the payload is stored server-side and rendered to other users, exploitation is persistent and can impact privileged accounts. This vulnerability is fixed in 1.8.3.