Ahmet Mersin

**Nome do Software Vulnerável e Versões Afetadas** EcoOnline EHS versões 0.2.499 **Descrição** Uma falha no aplicativo Android permite que um invasor remoto obtenha informações sensíveis e execute código arbitrário por meio do componente `AndroidManifest.xml`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** luci-app-https-dns-proxy versões anteriores a 2026-01-17 **Descrição** Usuários autenticados podem executar comandos de shell arbitrários devido ao tratamento inadequado de metacaracteres de shell no parâmetro `name` dentro da função `setInitAction()` localizada em `/usr/libexec/rpcd/luci.https-dns-proxy`. **Recomendações** Atualize o luci-app-https-dns-proxy para uma versão lançada em ou após 17-01-2026. Como mitigação temporária, restrinja o acesso à função `setInitAction()` para evitar a execução de comandos não autorizados.

**Nome do Software Vulnerável e Versões Afetadas** luci-app-https-dns-proxy versões anteriores a 2025.12.29-5 **Description** Um usuário autenticado com a permissão ACL `luci.https-dns-proxy` pode executar comandos arbitrários como root no dispositivo subjacente. Isso ocorre por meio de uma injeção de comando na função `setInitAction()`, onde metacaracteres de shell podem ser injetados através do parâmetro `name` de uma chamada ubus RPC para 'luci.https-dns-proxy setInitAction'. Este problema afeta o add-on opcional de interface web LuCI para o pacote https-dns-proxy distribuído através do feed de pacotes da comunidade OpenWrt; o núcleo do OpenWrt não é afetado. **Recommendations** Atualize para uma versão posterior a 2025.12.29-5. Como medida paliativa temporária, restrinja o acesso à função `setInitAction()` ou ao parâmetro `name` na chamada ubus RPC 'luci.https-dns-proxy setInitAction'.

Name of the Vulnerable Software and Affected Versions: Huawei HG255s-10 version V100R001C163B025SP02 Description: The issue is due to insufficient validation of received HTTP requests, allowing a remote attacker to access local files on the device without authentication. This is a result of a path traversal vulnerability. Recommendations: For Huawei HG255s-10 version V100R001C163B025SP02, consider restricting access to the device until a patch is available, and avoid using HTTP requests that could potentially exploit the path traversal vulnerability. At the moment, there is no information about a newer version that contains a fix for this vulnerability.