Anja Ivanovska

**Nome do Software Vulnerável e Versões Afetadas** Sustainable Irrigation Platform (SIP) versões anteriores a 5.2.17 **Description** Um problema de cross-site scripting armazenado existe onde invasores não autenticados podem injetar JavaScript arbitrário ao fornecer payloads maliciosos em nomes de programas enviados via requisições HTTP. A falha ocorre porque a aplicação não realiza a codificação de saída nos nomes de programas renderizados, permitindo que o script seja executado nos navegadores de usuários que visualizam a página afetada. Isso é facilitado se uma senha não for exigida ou se a senha padrão `opendoor` for utilizada. **Recommendations** Atualize o Sustainable Irrigation Platform (SIP) para a versão 5.2.17 ou posterior. Altere a senha padrão `opendoor` para uma senha forte e exclusiva.

**Nome do Software Vulnerável e Versões Afetadas** Sustainable Irrigation Platform (SIP) versões anteriores a 5.2.17 **Description** Ocorre falsificação de solicitação cross-site (CSRF) quando um administrador autenticado é atraído para uma página maliciosa que emite solicitações HTTP GET. O sistema falha ao realizar a validação de token CSRF ou a verificação de origem, permitindo que atacantes remotos executem ações administrativas de alteração de estado. Essas ações incluem a desativação da frase de senha, a reinicialização do dispositivo, a exclusão de programas ou a instalação de plugins. Em configurações padrão, esses endpoints ficam expostos a usuários não autenticados porque nenhuma frase de senha é exigida e a credencial padrão é `opendoor`. **Recommendations** Atualize o Sustainable Irrigation Platform (SIP) para a versão 5.2.17 ou posterior. Altere a credencial padrão `opendoor` e habilite uma frase de senha forte para evitar o acesso não autenticado aos endpoints administrativos.

**Nome do Software Vulnerável e Versões Afetadas** Sustainable Irrigation Platform (SIP) versões anteriores a 5.2.17 **Description** Existe um problema na funcionalidade de restauração onde o sistema não valida as chaves dentro dos arquivos de backup JSON carregados usados para construir caminhos de arquivos. Isso permite que um invasor realize path traversal, que é um método de acessar arquivos e diretórios armazenados fora da pasta raiz da web. Ao explorar essa falta de validação, e utilizando a senha padrão 'opendoor' ou a ausência de uma senha obrigatória na configuração padrão, um invasor pode gravar arquivos JSON arbitrários em locais não autorizados no sistema. **Recommendations** Atualize o Sustainable Irrigation Platform (SIP) para a versão 5.2.17 ou posterior. Altere a senha padrão 'opendoor' para uma senha forte e exclusiva. Garanta que uma senha seja exigida para a funcionalidade de restauração na configuração do sistema.