Alemmi

**Nome do Software Vulnerável e Versões Afetadas** Versões do Icinga Web 2 anteriores à 2.11.5 Versões do Icinga Web 2 anteriores à 2.12.13 **Descrição** Uma vulnerabilidade no Icinga Web 2 permite que um atacante crie uma URL que, uma vez visitada por qualquer usuário, possibilita a incorporação de JavaScript arbitrário no Icinga Web e permite que o atacante aja em nome desse usuário. **Recomendações** Para versões anteriores à 2.11.5, atualize para a versão 2.11.5 ou posterior. Para versões anteriores à 2.12.13, atualize para a versão 2.12.3 ou posterior. Como solução alternativa temporária para a versão 2.12.2, habilite uma política de segurança de conteúdo nas configurações da aplicação.

**Name of the Vulnerable Software and Affected Versions** GLPI Agent versions prior to 1.5 **Description** The issue affects the GLPI Agent, a generic management agent, when running the remoteinventory task against a Unix platform using the ssh command. An administrator user on the remote system can inject a command into a specific workflow that the agent runs with its privileges. If the agent is running with administration privileges, a malicious user could gain high privileges on the computer running the GLPI Agent. Additionally, a malicious user could disclose all remote accesses configured for the remoteinventory task. **Recommendations** For versions prior to 1.5, update to version 1.5 to resolve the issue. As a temporary workaround, consider restricting the privileges of the GLPI Agent when running the remoteinventory task to minimize the risk of exploitation. Restrict access to the remoteinventory task to trusted users only.

**Name of the Vulnerable Software and Affected Versions** GLPI versions 0.85 through 9.5.12 GLPI versions 10.0.0 through 10.0.6 **Description** The issue is related to insufficient user data sanitization on search pages, allowing an attacker to craft a malicious link that can exploit a reflected XSS when opened by an authenticated user. This can lead to the execution of arbitrary HTML and script code in the user's browser, potentially allowing a remote attacker to steal confidential information, modify the webpage's appearance, or conduct phishing and drive-by download attacks. **Recommendations** For GLPI versions 0.85 through 9.5.12, update to version 9.5.13 or later. For GLPI versions 10.0.0 through 10.0.6, update to version 10.0.7 or later.

**Name of the Vulnerable Software and Affected Versions** GLPI versions 10.0.0 through 10.0.6 **Description** The issue is related to insufficient cleaning of user data in the GLPI inventory endpoint, allowing an unauthenticated user to send a specially crafted request to the vulnerable application and execute arbitrary SQL commands in the application's database. This can enable a remote attacker to read, delete, or modify data in the database and gain full control over the vulnerable application. The GLPI inventory endpoint requires no authentication by default. **Recommendations** For GLPI versions 10.0.0 through 10.0.6, update to version 10.0.7 to resolve the issue. As a temporary workaround, consider disabling the native inventory endpoint until a patch is applied.

**Nome do software vulnerável e versões afetadas** Versões do HedgeDoc anteriores à 1.7.1 **Descrição** A vulnerabilidade permite que um invasor insira tags `script` arbitrárias em notas do HedgeDoc que utilizem diagramas Mermaid. Embora a política de segurança de conteúdo impeça o carregamento de scripts da maioria dos locais, `www.google-analytics.com` é permitido, o que pode ser explorado usando o Google Tag Manager para inserir JavaScript arbitrário e executá-lo ao carregar a página. Dependendo da configuração da instância, o invasor pode não precisar de autenticação para criar ou editar notas. **Recomendações** Para versões do HedgeDoc anteriores à 1.7.1, atualize para a versão 1.7.1 para resolver o problema. Como solução alternativa temporária, considere desativar `www.google-analytics.com` no cabeçalho `Content-Security-Policy` para minimizar o risco de exploração.