O FlowIntel é afetado por uma vulnerabilidade de scripts entre sites armazenada através de vários campos controlados pelo usuário ou pelo administrador. Valores persistentes — incluindo títulos de casos, identificadores de tickets, informações recorrentes de casos, atributos do perfil de usuário, nomes de organização e nomes de papel — foram renderizados dentro dos elementos DOM posteriormente compilados pela Vue. Embora a fuga normal de HTML possa neutralizar o marcado direto de HTML, ele não impediu que um atacante injetasse expressões de interpolação de Vue usando os delimitadores [[... ]] configurados. Um atacante autenticado capaz de modificar um dos campos afetados pode armazenar uma expressão de Vue maliciosa. Quando outro usuário viu um caso afetado, relatório, perfil, página de caso recorrente ou componente de navegação, Vue pode avaliar a expressão injetada no contexto do aplicativo FlowIntel.
A exploração bem sucedida pode permitir a execução arbitrária do JavaScript no navegador vítima sob a origem FlowIntel. Isto pode expor informações disponíveis para a vítima, executar ações usando a sessão autenticada da vítima, ou modificar dados de aplicativos dentro dos privilégios da vítima. O patch introduz um filtro dedicado ao Vue_ Escape que escapa de caracteres sensíveis ao HTML e quebra os delimitadores de interpolação do Vue antes de os valores serem renderizados. O filtro é aplicado aos campos de caso, conta, organização, papel, configuração e navegação afetados. Registro de aconselhamento: GHSA- hc 5 p-. 7 rj 2 - 94 g 3. Identificadores relacionados: CVE- 2026 - 69075.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 03 T 09: 32: 38.000 Z e lista a sua última modificação como 2026 - 08 - 03 T 09: 32: 38.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:L/UI:A/VC:H/VI:L/VA:N/SC:L/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 79. O registro contém 2 suporte de referências nestes tipos: AVISO, WEB.