CVE-2026-41200

Resumo

STIG Manager é uma API e um cliente web para gerenciar avaliações de Security Technical Implementation Guides (STIG) de Sistemas de Informação. As versões 1.5.10 a 1.6.7 apresentam uma vulnerabilidade de Cross-Site Scripting (XSS) refletido no código de tratamento de erros de autenticação OIDC em `src/init.js` e `public/reauth.html`. Durante o fluxo de redirecionamento OIDC, os parâmetros de consulta `error` e `error_description` retornados pelo provedor OIDC são gravados diretamente no DOM via `innerHTML` sem escape de HTML. Um atacante que consiga criar uma URL de redirecionamento maliciosa e convencer um usuário a segui-la pode executar JavaScript arbitrário no contexto de origem da aplicação. A vulnerabilidade é mais grave quando o usuário alvo possui uma sessão ativa do STIG Manager em outra aba do navegador — o código injetado é executado na mesma origem e pode se comunicar com o SharedWorker que gerencia o token de acesso ativo, permitindo requisições autenticadas à API em nome da vítima, incluindo leitura e modificação de dados de coleções. A vulnerabilidade é corrigida na versão 1.6.8. Não há solução alternativa além da atualização. Implantações atrás de um web application firewall que filtra payloads de XSS refletido em parâmetros de consulta podem ter mitigação parcial, mas isso não substitui a aplicação do patch.

• cve-2026-41200-stig-manager-oidc-reflected-xssPoC

  Gerador de exploit de prova de conceito para XSS refletido na autenticação OIDC do STIG Manager, permitindo roubo de tokens de sessão através de URLs de callback manipuladas e saída HTML de phishing.