Como Obter 100% de Aceitação em Conferências, o Método Novee: Uma CVE de Alta Gravidade no Principal Software de Call-for-Papers

Pesquisadores da Novee divulgaram uma falha de XSS armazenado (Cross-Site Scripting persistente) no pretalx, software amplamente usado para gerenciar chamadas de trabalhos (call-for-papers) em conferências. A vulnerabilidade permite que qualquer usuário registrado injete HTML ou JavaScript que é armazenado pelo sistema e depois executado no navegador de um organizador quando este realiza uma busca que corresponde ao conteúdo malicioso. O ataque é entregue, por exemplo, plantando um payload no título de uma submissão.

O detalhe técnico que torna o caso relevante é como o exploit contorna as proteções existentes. Em vez de depender de scripts via innerHTML (que costumam ser bloqueados), o exploit usa um iframe com o atributo srcdoc e carrega um arquivo .js de mesma origem para satisfazer a política de segurança de conteúdo (CSP). Com o código executando na sessão do organizador, o atacante consegue sequestrar essa sessão e, segundo a descrição da pesquisa, revogar permanentemente direitos de superusuário por meio de requisições GET autenticadas.

Conferências dependem do pretalx para receber e avaliar propostas, e muitas usam implantações compartilhadas, em que vários eventos rodam sobre a mesma infraestrutura. Nesse cenário, um único payload bem construído pode atingir diversos organizadores e eventos de uma só vez, ampliando muito o alcance do ataque. A combinação de XSS armazenado com tomada de conta de organizador transforma uma submissão comum em um vetor de comprometimento administrativo.

O nome irônico da pesquisa, sobre obter 100% de aceitação em conferências, aponta para o impacto prático. Quem controla a sessão de um organizador pode influenciar o processo de seleção, automatizar submissões em massa e manipular permissões. Por se tratar de uma falha classificada como de alta gravidade, o risco vai além do constrangimento e atinge a integridade do processo de revisão.

Para quem desenvolve ou opera plataformas web, o caso reforça que CSP e o bloqueio de scripts via innerHTML não são barreiras absolutas. O uso de iframe com srcdoc e de um arquivo .js de mesma origem mostra como recursos legítimos do navegador podem ser combinados para burlar mitigações parciais. A lição central é tratar toda entrada de usuário, inclusive campos aparentemente inofensivos como títulos, como conteúdo não confiável que precisa de sanitização e codificação de saída adequadas no contexto em que é renderizado.

Equipes que mantêm instâncias do pretalx, especialmente em ambientes compartilhados, devem acompanhar as correções do projeto e revisar a exposição de ações sensíveis. Funcionalidades administrativas acionadas por GET autenticado são particularmente arriscadas, pois facilitam abuso a partir de código injetado. Reforçar isolamento entre eventos e revisar o modelo de permissões reduz o raio de impacto de falhas semelhantes.