Stored XSS in admin forms

Fixes a stored XSS vulnerability in admin forms. A low-privileged attacker could inject malicious JavaScript through form fields – specifically the newsletter template preview and bundle/downloadable item renderers on admin invoice, credit memo, shipment, and order pages – which would execute when another admin user viewed the affected page, potentially leading to privilege escalation or sensitive data disclosure. The patch adds malicious-code filtering to the newsletter preview, tightens the preview iframe sandbox attribute, and switches output escaping to the injected Escaper service in the affected templates.

This vulnerability affects the following application versions:

• Magento 0.74.0-beta16
• Magento 1.0.0-beta
• Magento 1.0.0-beta2
• Magento 1.0.0-beta3
• Magento 1.0.0-beta4
• Magento 1.0.0-beta5
• Magento 1.0.0-beta6
• Magento 2.0.0
• Magento 2.0.0-rc
• Magento 2.0.0-rc2
• Magento 2.0.1
• Magento 2.0.2
• Magento 2.0.3
• Magento 2.0.4
• Magento 2.0.5
• Magento 2.0.6
• Magento 2.0.7
• Magento 2.0.8
• Magento 2.0.9
• Magento 2.0.10
• Magento 2.0.11
• Magento 2.0.12
• Magento 2.0.13
• Magento 2.0.14
• Magento 2.0.15
• Magento 2.0.16
• Magento 2.0.17
• Magento 2.0.18
• Magento 2.1.0
• Magento 2.1.0-rc1
• Magento 2.1.0-rc2
• Magento 2.1.0-rc3
• Magento 2.1.1
• Magento 2.1.2
• Magento 2.1.3
• Magento 2.1.4
• Magento 2.1.5
• Magento 2.1.6
• Magento 2.1.7
• Magento 2.1.8
• Magento 2.1.9
• Magento 2.1.10
• Magento 2.1.11
• Magento 2.1.12
• Magento 2.1.13
• Magento 2.1.14
• Magento 2.1.15
• Magento 2.1.16
• Magento 2.1.17
• Magento 2.1.18
• Magento 2.2.0
• Magento 2.2.0-rc2.0
• Magento 2.2.0-rc2.1
• Magento 2.2.0-rc2.2
• Magento 2.2.0-rc2.3
• Magento 2.2.0-rc3.0
• Magento 2.2.0-RC1.1
• Magento 2.2.0-RC1.2
• Magento 2.2.0-RC1.3
• Magento 2.2.0-RC1.4
• Magento 2.2.0-RC1.5
• Magento 2.2.0-RC1.6
• Magento 2.2.0-RC1.8
• Magento 2.2.1
• Magento 2.2.2
• Magento 2.2.3
• Magento 2.2.4
• Magento 2.2.5
• Magento 2.2.6
• Magento 2.2.7
• Magento 2.2.8
• Magento 2.2.9
• Magento 2.2.10
• Magento 2.2.11
• Magento 2.3.0
• Magento 2.3.1
• Magento 2.3.2
• Magento 2.3.2-p1
• Magento 2.3.2-p2
• Magento 2.3.3
• Magento 2.3.3-p1
• Magento 2.3.4
• Magento 2.3.4-p2
• Magento 2.3.5
• Magento 2.3.5-p1
• Magento 2.3.5-p2
• Magento 2.3.6
• Magento 2.3.6-p1
• Magento 2.3.7
• Magento 2.3.7-p1
• Magento 2.3.7-p2
• Magento 2.3.7-p3
• Magento 2.3.7-p4
• Magento 2.4.0
• Magento 2.4.0-p1
• Magento 2.4.1
• Magento 2.4.1-p1
• Magento 2.4.2
• Magento 2.4.2-p1
• Magento 2.4.2-p2
• Magento 2.4.3
• Magento 2.4.3-p1
• Magento 2.4.3-p2
• Magento 2.4.3-p3
• Magento 2.4.4
• Magento 2.4.4-p1
• Magento 2.4.4-p2
• Magento 2.4.4-p3
• Magento 2.4.4-p4
• Magento 2.4.4-p5
• Magento 2.4.4-p6
• Magento 2.4.4-p7
• Magento 2.4.4-p8
• Magento 2.4.4-p9
• Magento 2.4.4-p10
• Magento 2.4.4-p11
• Magento 2.4.4-p12
• Magento 2.4.4-p13
• Magento 2.4.5
• Magento 2.4.5-p1
• Magento 2.4.5-p2
• Magento 2.4.5-p3
• Magento 2.4.5-p4
• Magento 2.4.5-p5
• Magento 2.4.5-p6
• Magento 2.4.5-p7
• Magento 2.4.5-p8
• Magento 2.4.5-p9
• Magento 2.4.5-p10
• Magento 2.4.5-p11
• Magento 2.4.5-p12
• Magento 2.4.5-p13
• Magento 2.4.6
• Magento 2.4.6-p1
• Magento 2.4.6-p2
• Magento 2.4.6-p3
• Magento 2.4.6-p4
• Magento 2.4.6-p5
• Magento 2.4.6-p6
• Magento 2.4.6-p7
• Magento 2.4.6-p8
• Magento 2.4.6-p9
• Magento 2.4.6-p10
• Magento 2.4.6-p11
• Magento 2.4.7
• Magento 2.4.7-beta1
• Magento 2.4.7-beta2
• Magento 2.4.7-beta3
• Magento 2.4.7-p1
• Magento 2.4.7-p2
• Magento 2.4.7-p3
• Magento 2.4.7-p4
• Magento 2.4.7-p5
• Magento 2.4.7-p6
• Magento 2.4.8
• Magento 2.4.8-beta1
• Magento 2.4.8-beta2
• Magento 2.4.8-p1
• Magento 2.4.9-alpha1