CVE-2026-52658 — AureusERP: хранимый XSS (журнал изменений Chatter)

CWE-79 · CVSS 8.7 (High) · AureusERP ≤ v1.4.0 / master

Chatter отображает поля журнала изменений old_value / new_value как сырой HTML ({!! !!}, без санитизации). Аутентифицированный пользователь, редактирующий запись, сохраняет JavaScript, который выполняется у каждого, кто просматривает запись, включая администраторов.

.../chatter/.../messages/content-text-entry.blade.php:

{!! str($record->body)->sanitizeHtml() !!}                  // sanitized
{!! $change['old_value'] !!}   {!! $change['new_value'] !!} // NOT sanitized

PoC

Требуется любая аутентифицированная учётная запись с правами на редактирование записи (например, проекта).

1. Отредактируйте запись и установите отслеживаемое поле, например Name, в значение:

2. Сохраните — значение записывается в журнал изменений Chatter (старое → новое значение).
3. Откройте запись и просмотрите её панель Chatter / активности.
4. Журнал отображает сохранённое значение как сырой HTML, и полезная нагрузка выполняется — у любого, кто просматривает запись, включая администраторов.