CVE-2026-69075 in FlowIntel
Riassunto
di VulDB • 03/08/2026
FlowIntel è affetto da una vulnerabilità di cross-site scripting (XSS) memorizzato attraverso più campi controllati dall'utente o dall'amministratore.
I valori persistenti – inclusi i titoli dei casi, gli identificatori dei ticket, le informazioni sui casi ricorrenti, gli attributi del profilo utente, i nomi delle organizzazioni e i nomi dei ruoli – venivano resi all'interno di elementi DOM successivamente compilati da Vue. Sebbene la normale escape dell'HTML potesse neutralizzare il markup HTML diretto, non impediva a un attaccante di iniettare espressioni di interpolazione Vue utilizzando i delimitatori configurati [[ ... ]].
Un attaccante autenticato in grado di modificare uno dei campi interessati poteva memorizzare una espressione Vue malevola. Quando un altro utente visualizzava un caso interessato, un report, il profilo, la pagina relativa a un caso ricorrente o un componente di navigazione, Vue avrebbe potuto valutare l'espressione iniettata nel contesto dell'applicazione FlowIntel.
Un'exploit riuscita potrebbe consentire l'esecuzione arbitraria di JavaScript nel browser della vittima sotto l'origine (origin) di FlowIntel. Ciò potrebbe esporre le informazioni disponibili alla vittima, eseguire azioni utilizzando la sessione autenticata della vittima o modificare i dati dell'applicazione entro i privilegi della vittima.
La patch introduce un filtro dedicato `vue_escape` che effettua l'escape dei caratteri sensibili all'HTML e interrompe i delimitatori di interpolazione Vue prima che i valori vengano resi. Il filtro viene applicato ai campi interessati relativi a casi, account, organizzazioni, ruoli, configurazione e navigazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.