Alibek Baxtiyarov

**Nome do Software Vulnerável e Versões Afetadas** InvoiceNinja versão 5-stable **Descrição** Um usuário autenticado com permissões de criação de faturas pode injetar payloads de HTML ou JavaScript no campo `terms` de uma fatura ou orçamento. Isso ocorre porque a aplicação renderiza esse campo no portal do cliente usando uma diretiva de saída bruta sem sanitização de HTML. O arquivo `StoreInvoiceRequest.php` apenas remove quebras de linha e não purifica o conteúdo HTML. Um invasor pode explorar isso utilizando o endpoint de API 'PUT /api/v1/invoices/{id}' para definir a variável `terms`, levando à execução de scripts no navegador do cliente, o que pode resultar no roubo de cookies de sessão e na tomada de controle da conta do cliente. **Recomendações** Como medida de mitigação temporária, restrinja o acesso ao endpoint de API 'PUT /api/v1/invoices/{id}' ou evite usar o parâmetro `terms` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Magistrala (versões afetadas não especificadas) **Description** O Rules Engine permite que usuários autenticados criem regras contendo scripts Go ou Lua incorporados que são executados no servidor quando mensagens de IoT chegam. O mecanismo de script Go, localizado em `re/golang.go`, utiliza o interpretador Yaegi e expõe a biblioteca padrão completa do Go, incluindo `os` e `net/http`. A validação é limitada a um regex que bloqueia chamadas `panic()` e goroutines, deixando funções perigosas como `os.ReadFile()`, `os.WriteFile()`, `os.Remove()` e `os.Environ()` acessíveis. O mecanismo de script Lua, localizado em `re/lua.go`, não possui validação de entrada e pré-carrega bibliotecas que permitem acesso arbitrário ao banco de dados (`db`), E/S de arquivos (`ioutil`), Server-Side Request Forgery (SSRF) via um cliente HTTP e travessia de diretório (`filepath`). Consequentemente, um usuário autenticado de baixo privilégio pode realizar operações de leitura/escrita arbitrária de arquivos, vazar variáveis de ambiente, acessar o banco de dados e executar ataques de SSRF contra microsserviços internos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja a capacidade de usuários de baixo privilégio de criar ou modificar regras no Rules Engine. Restrinja o acesso aos componentes `re/golang.go` e `re/lua.go` para evitar a execução não autorizada de scripts.