Alijonov Alisher

**Nome do Software Vulnerável e Versões Afetadas** HashBrown CMS versões anteriores a 1.4.7 **Descrição** Um problema de Injeção de Comando de SO existe na rotina de geração de miniaturas de upload de mídia. A função `Media.generateThumbnail()` em `src/Server/Entity/Resource/Media.js` cria um caminho de arquivo temporário usando `Path.extname(filename)` e o passa sem escape para um comando de shell executado via `AppService.exec()`. Como o filtro de MIME-type em `getMIMEType()` (localizado em `src/Common/utilities.js`) trunca extensões no primeiro caractere '?', enquanto o `Path.extname()` não o faz, um usuário autenticado com escopo de recurso de mídia pode ignorar as verificações de tipo de imagem. Ao usar um nome de arquivo como `x.jpg?$(command)`, um invasor pode executar comandos de SO arbitrários no contexto do processo Node.js através do endpoint POST '/api/{project}/{environment}/media/new'. **Recomendações** Atualize o HashBrown CMS para a versão 1.4.7 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint POST '/api/{project}/{environment}/media/new' para usuários que não necessitem estritamente de privilégios de upload de mídia.

**Nome do Software Vulnerável e Versões Afetadas** HashBrown CMS versões anteriores a 1.4.7 **Descrição** O componente de implantação Git contém uma falha de Injeção de Comando de SO. A função `pullRepo()` em `src/Server/Entity/Deployer/GitDeployer.js` utiliza `AppService.exec()` para executar um comando de shell que interpola o valor do branch configurado sem a devida filtragem. Embora a função `validate()` rejeite aspas simples, ela não filtra outros metacaracteres de shell, como `;`, `&&`, `|`, crases e `$()`. Um invasor com permissões para configurar as definições do implantador Git pode especificar um valor de branch malicioso que executa comandos arbitrários automaticamente durante operações de implantação, como salvamento de conteúdo ou upload de mídia. **Recomendações** Atualize o HashBrown CMS para uma versão posterior à 1.4.6. Restrinja o acesso às configurações do implantador Git apenas a administradores confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Pluck CMS versões anteriores a 4.7.22 **Descrição** O recurso de gerenciamento de arquivos do administrador não restringe adequadamente o upload de arquivos perigosos. O sistema utiliza uma lista negra fixa em `data/inc/files.php` que verifica os últimos 4-5 caracteres de um nome de arquivo, mas omite a extensão `.php8`. Um administrador autenticado pode fazer o upload de um arquivo com a extensão `.php8`, que é armazenado sem modificações. Em servidores que executam PHP 8.x, o servidor web executa este arquivo como PHP, resultando em execução remota de código. **Recomendações** Atualize o Pluck CMS para a versão 4.7.22 ou posterior. Como mitigação temporária, restrinja o acesso ao recurso de gerenciamento de arquivos do administrador ou garanta que o servidor não esteja executando PHP 8.x.

**Nome do Software Vulnerável e Versões Afetadas** Documize Community (versões afetadas não especificadas) **Descrição** Existe uma falha de bypass de autorização na rota de download de anexos. A função `Download()`, localizada em `domain/attachment/endpoint.go`, aceita um parâmetro de consulta `secure`, mas apenas verifica se o parâmetro não está vazio, em vez de validá-lo em relação a um valor armazenado. Consequentemente, fornecer qualquer string não vazia no parâmetro `secure` permite que um invasor ignore a autenticação e baixe anexos de qualquer organização. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.