Vulnerabilidade Crítica de Injeção de HTML Descoberta no Software Bdtask Isshue
INCIBE-CERT alerta sobre falha crítica no Bdtask Isshue que permite injeção de HTML e ataques XSS, colocando dados e sessões de usuários em risco.
Vulnerabilidade de Injeção de HTML Identificada no Software Bdtask Isshue
Madrid, Espanha – 19 de janeiro de 2026 – O INCIBE-CERT emitiu um alerta sobre uma vulnerabilidade crítica de injeção de HTML no Bdtask Isshue, um software amplamente utilizado para rastreamento de problemas e gestão de projetos. A falha, se explorada, pode permitir que atacantes executem scripts maliciosos nos navegadores dos usuários, levando a possíveis roubos de dados ou sequestro de sessões.
Detalhes Técnicos
A vulnerabilidade decorre de uma validação insuficiente de entradas na aplicação Isshue, permitindo que atacantes injetem código arbitrário HTML ou JavaScript em páginas da web. Quando usuários desavisados interagem com a interface comprometida, o script malicioso é executado no contexto do navegador, facilitando:
- Ataques de Cross-Site Scripting (XSS)
- Roubo de cookies de sessão
- Phishing ou redirecionamento para sites maliciosos
- Desfiguração de interfaces web
Até o momento da publicação, nenhum CVE ID foi atribuído a esta vulnerabilidade. O INCIBE-CERT classificou o risco como de alta severidade, devido ao potencial de exploração generalizada em ambientes corporativos.
Análise de Impacto
Organizações que utilizam o Bdtask Isshue para gestão de projetos ou rastreamento de problemas estão em risco de:
- Acesso não autorizado a dados sensíveis por meio de tokens de sessão roubados
- Comprometimento de contas de usuários através da coleta de credenciais
- Danos à reputação devido à desfiguração ou manipulação de interfaces web
- Violações de conformidade se a exploração resultar na exfiltração de dados regulados
A vulnerabilidade é particularmente preocupante para equipes que dependem do Isshue para colaboração interna, pois pode servir como ponto de entrada para um comprometimento mais amplo da rede.
Recomendações
O INCIBE-CERT aconselha as equipes de segurança a adotarem as seguintes medidas:
- Aplicar patches imediatamente assim que a Bdtask lançar uma atualização que corrija a falha.
- Implementar políticas de Content Security Policy (CSP) para mitigar riscos de XSS.
- Monitorar o tráfego web em busca de execução de scripts incomuns ou conexões de saída.
- Educar os usuários sobre como reconhecer tentativas de phishing ou links suspeitos.
- Restringir o acesso a instâncias do Isshue a redes confiáveis até que a correção seja concluída.
Para mais detalhes, consulte o aviso original do INCIBE-CERT.
Esta é uma história em desenvolvimento. Atualizações serão fornecidas à medida que mais informações estiverem disponíveis.