GHSA-q4fm-pjq6-m63g
MediumSummary
Użytkownik z odpowiednimi uprawnieniami do tworzenia lub modyfikowania workflowów może wykorzystać lukę w sanitizacji CSS w węźle Form Trigger, aby wstrzyknąć ładunek XSS. Wstrzyknięty skrypt wykonuje się dla każdego odwiedzającego opublikowany formularz.
Risk Assessment
Luka ta pozwala na trwałe wykonywanie złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników lub innych nieautoryzowanych działań na stronie.
Recommendation
Zaleca się przegląd i poprawę sanitizacji danych wejściowych w węźle Form Trigger oraz ograniczenie uprawnień użytkowników do tworzenia lub modyfikowania workflowów.
Original NVD description (English source)
## Impact An authenticated user with permission to create or modify workflows could exploit a flaw in the Form Trigger node's CSS sanitization to store a cross-site scripting (XSS) payload. The injected script executes persistently for every visitor of the published form, enabling form submission hi