Arpit Jain

**Name of the Vulnerable Software and Affected Versions** Vaadin versions 23.1.0 through 23.6.13 Vaadin versions 24.0.0 through 24.9.21 Vaadin versions 24.10.0 through 24.10.9 Vaadin versions 25.0.0 through 25.1.11 Vaadin versions 25.2.0 through 25.2.6 Vaadin Framework 7 and 8 with Spreadsheet add-on versions 2.0.0 through 3.1.0 **Description** A missing authorization check in the Vaadin Spreadsheet component allows an authenticated user to add or replace cell comments on a sheet with protection enabled, including locked cells. Additionally, writing a comment to a non-existent cell will result in the creation of both the row and the cell. **Recommendations** Upgrade Vaadin versions 23.1.0 through 23.6.13 to 23.6.14. Upgrade Vaadin versions 24.0.0 through 24.9.21 to 24.9.22. Upgrade Vaadin versions 24.10.0 through 24.10.9 to 24.10.10. Upgrade Vaadin versions 25.0.0 through 25.1.11 to 25.1.12. Upgrade Vaadin versions 25.2.0 through 25.2.6 to 25.2.7 or newer. Upgrade the Spreadsheet add-on for Vaadin Framework 7 and 8 to 3.1.1.

**Name of the Vulnerable Software and Affected Versions** KubeVirt (affected versions not specified) **Description** An authenticated user with permissions to create Virtual Machine Instances (VMIs) can trigger a Denial of Service (DoS) by submitting a virtual machine definition containing an empty ephemeral volume. The `virt-controller` component does not properly validate the volume configuration, resulting in a nil-pointer dereference (an attempt to access a memory location that does not exist) and an application crash. Since the malformed definition remains in the cluster, the controller enters a continuous crash loop, which disrupts virtual machine lifecycle operations across the entire environment. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

A flaw was found in the foreman remote execution plugin's template invocations controller. The show template invocation by host action resolves the job invocation by ID without evaluating the caller's view job invocations permission filter against the record. An authenticated user whose job invocation visibility is restricted by a permission filter can enumerate job invocation IDs and read the live output, rendered script, and input values for other users' job invocations within their own organizations.

**Name of the Vulnerable Software and Affected Versions** foreman ansible plugin (affected versions not specified) **Description** A flaw exists in the Ansible override values API of the foreman ansible plugin. The destroy action resolves the target LookupValue record by ID but fails to verify if the record belongs to an AnsibleVariable that the caller is authorized to edit. Consequently, an authenticated user possessing the `edit ansible variables` permission can delete any LookupValue by ID. This includes override values for Ansible variables outside their permission filter scope and override values associated with Puppet smart class parameters. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** foreman ansible plugin (affected versions not specified) **Description** A flaw exists in the Ansible inventory API of the foreman ansible plugin. The controller utilizes an unscoped `Host.where()` call to build host queries, which fails to enforce the search filter linked to the caller's `view hosts` permission. Consequently, an authenticated user with restricted host visibility can provide arbitrary host IDs within their organization to retrieve the complete Ansible inventory for those hosts, including parameter values that are marked as hidden. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Apache NiFi versions 2.9.0 through 2.11.0 **Description** Connector configuration update and verification REST API methods fail to enforce authorization checks on referenced Assets and Secrets. While framework authorization is limited to write privileges on the Connector, an authenticated user with these privileges could apply Secret values from a Parameter Provider they are not authorized to read. Additionally, these methods accept Asset identifiers without verifying if the Asset belongs to the Connector being configured. This issue affects installations that implement different authorization levels across Connectors and Parameter Providers. **Recommendations** Update to version 2.12.0.

**Name of the Vulnerable Software and Affected Versions** SmallRye GraphQL (affected versions not specified) **Description** An issue exists in the number scalar coercion for BigInteger that fails to properly validate the magnitude of float or string inputs. An unauthenticated remote attacker can exploit this by sending a GraphQL query containing a large exponent float literal. This leads to the allocation of extremely large BigInteger objects, causing CPU exhaustion or an OutOfMemoryError, which results in a denial of service. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Foreman (affected versions not specified) **Description** An issue exists where the template revision endpoint fails to enforce object-level authorization when retrieving an audited template revision. An authenticated user with low privileges and template-related permissions, such as `view ptables`, can access historical template contents from other organizations or locations by providing the relevant audit ID. This may lead to the unauthorized disclosure of sensitive data, including configuration details, credentials, or secrets. The REST API revision endpoints are not affected by this issue. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Spring Framework versions 7.0.0 through 7.0.8 Spring Framework versions 6.2.0 through 6.2.19 Spring Framework versions 6.1.0 through 6.1.28 Spring Framework versions 6.0.0 through 6.0.30 Spring Framework versions 5.3.0 through 5.3.49 **Description** Spring MVC applications utilizing the functional web framework are susceptible to stream corruption when implementing Server-Sent Events (SSE), a mechanism that allows servers to push real-time updates to web pages over a single HTTP connection. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** The product name cannot be determined (affected versions not specified) **Description** A flaw exists in the personal access token removal query where the system selects from `PersonalAccessTokenDB` but filters based on columns from `Session` without a proper join. SQLAlchemy interprets this as an implicit cross join, which fails to restrict the deletion process to the tokens belonging to the calling user. Consequently, an authenticated user can delete all personal access tokens across the entire system. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** ash authentication من الإصدار 4.8.0 إلى 4.14.1 ash authentication من الإصدار 5.0.0-rc.0 إلى 5.0.0-rc.12 **الوصف** تحدث ثغرة البرمجة النصية عبر المواقع (XSS) المنعكسة عندما يتم تكوين إستراتيجية مع تعيين `require interaction?` على ”true“. يقدم البرنامج صفحات HTML وسيطة تدمج معلمات الطلب مباشرةً في سمات قيم الإدخال المخفية دون إجراء عملية الهروب من أحرف HTML. وعلى وجه التحديد، يتم إدراج المعلمة `confirm` في الملف `lib/ash authentication/add ons/confirmation/confirmation form.html.eex`، ويتم إدراج معلمة رمز الرابط السحري في الملف `lib/ash authentication/strategies/magic link/sign in form.html.eex`. ونظرًا لأن هذه القوالب تستخدم تعبيرات بسيطة لا تقوم بأي عملية هروب، ولأن وظائف `accept/2` في `AshAuthentication.AddOn.Confirmation.Plug` و`AshAuthentication.Strategy.MagicLink.Plug` لا تتحقق من صحة القيم، يمكن لمهاجم غير مصدق صياغة عنوان URL لحقن علامات برمجية ضارة. يتم تنفيذ البرنامج النصي المحقون في مصدر التطبيق، مما يسمح بالوصول إلى ملفات تعريف الارتباط والجلسات والاستجابات من نفس المصدر. **التوصيات** تحديث ash authentication إلى الإصدار 4.14.2 أو أحدث. تحديث ash authentication إلى الإصدار 5.0.0-rc.13 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** يتعذر تحديد اسم المنتج (لم يتم تحديد الإصدارات المتأثرة) **الوصف** لا تتحقق طريقة عرض تفاصيل المستخدم في الملحق مما إذا كان سجل المستخدم المطلوب يطابق الهدف المُعد أو الذي قام بتسجيل الدخول. وهذا يسمح للزوار الذين لديهم حق الوصول إلى المكون الإضافي «Detail» أو «List» باسترداد بيانات الملف الشخصي لمستخدمي الواجهة الأمامية الآخرين، مثل الاسم والبريد الإلكتروني وتاريخ الميلاد والعنوان، من خلال تقديم «معرف مستخدم» عشوائي. **التوصيات** في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Imager من 0.45 02 إلى 1.033 **الوصف** يحدث تجاوز في القراءة في الدالة `copy string tags()` عند معالجة إدخالات EXIF ASCII ذات العدد صفر. تحسب الدالة طول العلامة على أنه `entry->size - 1`؛ وإذا كانت قيمة `entry->size` تساوي 0، يتم تمرير الطول الناتج -1 إلى `i tags add()`، مما يؤدي إلى استدعاء `strlen()`. وهذا يتسبب في قيام النظام بمسح ما بعد الإدخال حتى العثور على حرف NUL التالي، مما قد يؤدي إلى كشف بايتات الهيب المجاورة. يمكن الوصول إلى هذا المسار عبر `im decode exif()` عند استخدام صور JPEG أو توزيع Imager::File::WEBP. يمكن للمهاجم استغلال هذه الثغرة عن طريق تزويد `Imager->read()` بصورة مصممة خصيصًا لهذا الغرض، مما يؤدي إلى احتواء علامة `exif *` على بيانات حساسة من الـ heap بدلاً من سلسلة فارغة. **التوصيات** تحديث Imager إلى الإصدار 1.034 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات pgAdmin 4 السابقة للإصدار 9.17-1.1 **الوصف** تفشل وظيفة استيراد/تصدير البيانات في معالجة العناصر الخاصة بشكل صحيح، مما يسمح لمهاجم عن بُعد بتنفيذ أوامر تعسفية خاصة بنظام التشغيل على الخادم. **التوصيات** التحديث إلى الإصدار 9.17-1.1.