CVE-2024-37828

O Vermeg Agile Reporter armazena um valor não sanitizado do campo Broadcast Message e o reproduz como script ativo quando outros o visualizam, uma falha de cross-site scripting armazenado. O detalhe que molda o risco é a exigência de entrada: injetar o payload precisa de privilégios altos, já que o módulo de broadcast-message não é algo que um usuário de baixo nível consiga alcançar.

Como a pessoa que planta o script já precisa ser altamente privilegiada, isto está mais próximo de um cenário de abuso de confiança ou de insider do que de um ataque externo, e seus impactos são avaliados como baixos em todos os aspectos, com apenas uma mudança de escopo o empurrando para cima. Um XSS armazenado que exige acesso de nível admin para ser definido, e que ainda depende de uma vítima visualizá-lo, é um caminho estreito com um retorno modesto.

Classificamos isto abaixo de seu 4.8 para a maioria das implantações e o tratamos como higiene rotineira de aplicação. O valor realista está em defesa em profundidade: assumindo que uma conta privilegiada pode ser usada de forma indevida, output encoding nesse campo impediria o script de sequer executar. Incorporaríamos a correção a uma atualização normal, em vez de tratar um XSS de baixo impacto e restrito a alto privilégio como algo urgente.