CVE-2026-69075 in FlowIntel
Sumário
de VulDB • 03/08/2026
O FlowIntel é afetado por uma vulnerabilidade de cross-site scripting (XSS) armazenada através de múltiplos campos controlados pelo usuário ou pelo administrador.
Valores persistidos — incluindo títulos de casos, identificadores de tickets, informações sobre casos recorrentes, atributos do perfil do usuário, nomes das organizações e nomes dos papéis (roles) — eram renderizados dentro de elementos DOM subsequentemente compilados pelo Vue. Embora a escapeamento normal de HTML pudesse neutralizar marcações HTML diretas, isso não impedia que um atacante injetasse expressões de interpolação do Vue usando os delimitadores configurados `[[ ... ]]`.
Um atacante autenticado capaz de modificar um dos campos afetados poderia armazenar uma expressão maliciosa do Vue. Quando outro usuário visualizava um caso, relatório, perfil, página de casos recorrentes ou componente de navegação afetados, o Vue podia avaliar a expressão injetada no contexto da aplicação FlowIntel.
A exploração bem-sucedida poderia permitir a execução arbitrária de JavaScript no navegador da vítima sob a origem do FlowIntel. Isso poderia expor informações disponíveis para a vítima, realizar ações usando a sessão autenticada da vítima ou modificar dados da aplicação dentro dos privilégios da vítima.
O patch introduz um filtro dedicado `vue_escape` que realiza o escapeamento de caracteres sensíveis ao HTML e quebra os delimitadores de interpolação do Vue antes que os valores sejam renderizados. O filtro é aplicado aos campos afetados: caso, conta (account), organização, papel (role), configuração e navegação.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.