CVE-2026-64944: XSS armazenado no Apache Answer via perguntas importadas

O aviso CVE-2026-64944, publicado em 16 de outubro de 2026 em um feed de listas de segurança de código aberto, descreve uma vulnerabilidade de cross-site scripting armazenado no Apache Answer. Segundo o texto, o importador grava os corpos das perguntas importadas como HTML bruto, sem passar pelo processo normal de sanitização de Markdown para HTML. Assim, HTML controlado por um atacante dentro dos dados importados pode ser armazenado e exibido às demais pessoas. A gravidade é classificada como baixa e as versões afetadas são todas até a 2.0.2. O trecho disponível não descreve todo o cenário de exploração. Trata-se de tradução automática, por isso consulte a mensagem original na lista oss-sec antes de tomar decisões. A Rota Nacional não executa nem corrige o Apache Answer, e este aviso não descreve nenhum recurso da plataforma. Se sua organização usa esse software, verifique a versão instalada, procure nas notas de lançamento do projeto uma versão corrigida, revise perguntas importadas recentes em busca de HTML ou scripts inesperados e limite importações a fontes confiáveis. Se você usar IA para resumir ou estudar este aviso, não cole conteúdo de fóruns internos que contenha dados pessoais. A plataforma detecta dados como CPF, e-mail e telefone antes de qualquer modelo rodar e aplica a política da organização: marcadores, remoção ou bloqueio.