CVE-2024-37828

Vermeg Agile Reporter almacena un valor sin sanear del campo Broadcast Message y lo reproduce como script activo cuando otros lo visualizan, un fallo de cross-site scripting almacenado. El giro que define el riesgo es el requisito de entrada: inyectar el payload necesita privilegios altos, ya que el módulo de mensaje de difusión no es algo que un usuario de bajo nivel pueda alcanzar.

Como la persona que planta el script debe ya estar altamente privilegiada, esto se acerca más a un escenario de abuso de confianza o de amenaza interna que a un ataque externo, y sus impactos están calificados como bajos en todos los aspectos, con solo un cambio de alcance empujándolo hacia arriba. Un XSS almacenado que requiere acceso de nivel administrativo para fijarse, y que luego aún depende de que una víctima lo visualice, es una ruta estrecha con una recompensa modesta.

La clasificamos por debajo de su 4.8 para la mayoría de los despliegues y la manejamos como higiene ordinaria de la aplicación. El valor realista está en la defensa en profundidad: asumiendo que una cuenta privilegiada puede ser mal usada, la codificación de salida en ese campo evitaría que el script llegara a ejecutarse. Incorporaríamos la solución en una actualización normal en lugar de tratar un XSS de bajo impacto y protegido por privilegios altos como algo urgente.