456789Tz

**Nome do Software Vulnerável e Versões Afetadas** Plane versões anteriores a 1.4.0 **Description** Uma falha de autenticação permite que qualquer membro autenticado de um workspace, incluindo convidados com acesso limitado, recupere registros de todos os projetos dentro de um workspace. Isso ocorre porque o sistema não verifica se o solicitante pertence ao projeto específico que está sendo acessado. Um invasor pode enumerar nomes, descrições, datas de sprint, contagem de problemas, snapshots de progresso, IDs de integração externa, URLs vinculadas e listas de membros para ciclos e módulos em projetos privados através dos seguintes endpoints: - '/api/workspaces/{slug}/cycles/' através do WorkspaceCyclesEndpoint - '/api/workspaces/{slug}/modules/' através do WorkspaceModulesEndpoint **Recommendations** Atualizar para a versão 1.4.0.

**Nome do Software Vulnerável e Versões Afetadas** SigNoz versões 0.87.0 até 0.141.0 **Descrição** Usuários autenticados com a função de Viewer ou superior podem realizar a injeção de SQL ao fornecer nomes de chaves de campo de telemetria especialmente manipulados. A aplicação falha ao escapar adequadamente esses nomes no endpoint de API 'v5 query range', permitindo que atacantes usem crases e aspas para romper identificadores e literais de string. Isso possibilita a execução de comandos SQL arbitrários do ClickHouse para acessar tabelas do sistema e exfiltrar dados. **Recomendações** Atualize o SigNoz para a versão 0.142.0 ou posterior.