GHSA-q4fm-pjq6-m63g
ŚrednieStreszczenie
Użytkownik z odpowiednimi uprawnieniami do tworzenia lub modyfikowania workflowów może wykorzystać lukę w sanitizacji CSS w węźle Form Trigger, aby wstrzyknąć ładunek XSS. Wstrzyknięty skrypt wykonuje się dla każdego odwiedzającego opublikowany formularz.
Ocena ryzyka
Luka ta pozwala na trwałe wykonywanie złośliwego skryptu, co może prowadzić do kradzieży danych użytkowników lub innych nieautoryzowanych działań na stronie.
Rekomendacja
Zaleca się przegląd i poprawę sanitizacji danych wejściowych w węźle Form Trigger oraz ograniczenie uprawnień użytkowników do tworzenia lub modyfikowania workflowów.
Oryginalny opis (angielski, źródło NVD)
## Impact An authenticated user with permission to create or modify workflows could exploit a flaw in the Form Trigger node's CSS sanitization to store a cross-site scripting (XSS) payload. The injected script executes persistently for every visitor of the published form, enabling form submission hi