Akokonunes

O renderizador de mensagens AMP ActivityAMP em `app/src/main/java/eu/faircode/email/ActivityAMP.java` habilita JavaScript em seu WebView, mas não sanitiza completamente o HTML de mensagens não confiáveis. Para hosts que não estão na lista de permissões, a remoção do atributo `src` de elementos de script mantém scripts inline no documento e não rejeita atributos de manipuladores de eventos ou URLs `javascript:` em outros elementos. Isso permite que um e-mail AMP manipulado execute JavaScript arbitrário quando o destinatário abre a mensagem e ativa a opção AMP. O script executado pode ler o DOM (Document Object Model) da mensagem, exfiltrar dados da mensagem e exibir sobreposições de phishing na área do corpo da mensagem.

Ocorre cross-site scripting armazenado no serviço de ativos porque a lista de bloqueio de extensões está incompleta e não inclui tipos de arquivos capazes de executar scripts. Isso permite que invasores façam upload de arquivos com extensões como `.xht`, `.ehtml`, `.xsl`, `.xbl` ou `.rdf` que são resolvidos como tipos de mídia executáveis. Consequentemente, o JavaScript pode ser executado para roubar tokens de API e comprometer espaços de trabalho.

Quando configurado com autenticação por proxy (`auth.method=proxy`), o software confia inadequadamente em cabeçalhos de identidade upstream sem validar se as solicitações originam-se de um proxy confiável. Um invasor não autenticado com acesso direto ao servidor pode personificar qualquer usuário, incluindo o administrador, enviando um cabeçalho HTTP forjado. Além disso, fornecer um nome de usuário inexistente no cabeçalho dispara a criação automática de uma nova conta de usuário, permitindo o provisionamento não autorizado de contas. Isso resulta no controle total da conta administrativa e no comprometimento completo do gerenciamento de arquivos no servidor.

O aplicativo registra um esquema de deep-link personalizado `org.traccar.client://config` que permite a modificação silenciosa de configurações persistentes sem confirmação ou notificação ao usuário. Um invasor pode usar um link manipulado enviado via SMS, e-mail, página da web ou outro aplicativo para sequestrar parâmetros de rastreamento de GPS, incluindo a URL do servidor, ID do dispositivo, precisão, distância e intervalo. Isso possibilita o redirecionamento oculto da telemetria de GPS em tempo real para um servidor controlado pelo invasor com precisão e frequência máximas, sendo que as alterações persistem após a reinicialização do dispositivo.

Name of the Vulnerable Software and Affected Versions Directus versões anteriores a 11.16.1 Description Directus é suscetível a um problema de redirecionamento aberto através do parâmetro `redirect` na página `/admin/tfa-setup`. Um administrador que não configurou a Autenticação de Dois Fatores (2FA) pode ser redirecionado para uma URL controlada por um invasor após concluir o processo de configuração do 2FA, pois o aplicativo não possui validação do destino do redirecionamento. Isso pode ser utilizado em ataques de phishing direcionados a administradores do Directus. Recommendations Atualize para a versão 11.16.1 ou posterior.

Cloud CLI (also known as Claude Code UI) is a desktop and mobile UI for Claude Code, Cursor CLI, Codex, and Gemini-CLI. The `/api/user/git-config` endpoint constructs shell commands using user-provided `gitName` and `gitEmail` values, passing them to `child process.exec()`. Input is placed within double quotes, but only double quotes are escaped, leaving backticks (`), `$()` command substitution, and `` sequences vulnerable to interpretation within bash. This allows authenticated attackers to execute arbitrary operating system commands through the git configuration endpoint. The vulnerable code resides in `server/routes/user.js` (lines 58-59). Exploitation involves injecting malicious commands via the `gitName` parameter using command substitution, potentially leading to Remote Code Execution (RCE) as the Node.js process user. The server-wide git configuration can be modified, impacting all git operations. When combined with a bypass for JWT authentication, this can result in unauthenticated RCE.

O endpoint `/objects/playlistsFromUser.json.php` não requer autenticação ou autorização, permitindo que um atacante não autenticado enumere IDs de usuário e recupere informações de playlist, incluindo nomes de playlist, IDs de vídeo e status da playlist, para qualquer usuário na plataforma. O endpoint aceita um parâmetro `users id` e consulta diretamente o banco de dados sem qualquer verificação de autenticação ou autorização. Isso pode levar a violações de privacidade, enumeração de usuários, coleta de informações e possíveis ataques direcionados. O arquivo vulnerável é `objects/playlistsFromUser.json.php`. A função `getAllFromUser()` é usada para recuperar dados de playlist sem verificar o acesso do usuário.

O software contém uma vulnerabilidade de cross-site scripting refletido (XSS) no endpoint `/rss/tag/`. O parâmetro de rota `tag uuid` é incluído diretamente na resposta HTTP sem escapamento HTML adequado. Como o Flask assume `text/html` como padrão para respostas de string, o JavaScript injetado é executado pelo navegador. O problema estava presente na versão 0.54.1, que abordou um XSS semelhante em `/rss/watch/`, mas não resolveu a questão no endpoint RSS de tags. O ataque requer um token de acesso RSS válido, disponível publicamente na página inicial. A exploração bem-sucedida pode levar ao roubo de cookies de sessão, comprometimento da conta e ataques de phishing. Estima-se que aproximadamente 500 implantações publicamente acessíveis estejam afetadas. O código vulnerável está localizado em `changedetectionio/blueprint/rss/tag.py`, na linha 36. O parâmetro vulnerável é `tag uuid`.

O NocoDB é um software para construir bancos de dados como planilhas. Um usuário autenticado com a função Editor pode injetar HTML arbitrário em células de texto rico. Isso é feito contornando o editor TipTap e enviando HTML bruto por meio da API. A API vulnerável permite a injeção de código malicioso por meio de células de texto rico.

Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado na célula virtual de Fórmula do NocoDB, um software utilizado para construir bancos de dados como planilhas. Os resultados de Fórmula contendo padrões URI::() são renderizados usando v-html sem a devida sanitização, o que permite a execução de HTML injetado.

O aplicativo reflete diretamente o parâmetro de rota `UUID` no corpo da resposta HTTP sem escape HTML no endpoint single-watch RSS. Como o Flask define como padrão retornar text/html para respostas de string simples, o navegador analisa e executa o JavaScript injetado. Isso poderia permitir ataques de cross-site scripting (XSS) potenciais.