Arpitjain099

Hugo is a static site generator. In versions after v0.123.0 and before v0.165.0, symlinks in parent directories were not dropped during direct resource lookups, allowing path confinement to be bypassed. An attacker who can place — or who convinces a site author to place — a symlink inside a mounted directory (for example, in a locally vendored theme under themes/) can cause functions that perform direct lookups, such as resources.Get and os.ReadFile, to follow that symlink and read files outside the intended project boundaries, disclosing their contents in the built site. Themes mounted as Go modules fetched from GitHub have symlinks stripped on download and are not affected, and multi-directory walks (e.g. content/asset walking) are not affected. This issue is an incomplete-fix follow-up to GHSA-c3wq-j5vh-68rc and GHSA-fw87-fv5r-9fpw; it is fixed in v0.165.0.

Snipe-IT through 8.6.3 does not neutralize formula elements in the "unaccepted assets" acceptance report CSV export. ReportsController::postAssetAcceptanceReport builds the CSV by hand (stripping commas and joining rows manually) and, unlike the six sibling exports in the same controller, never applies LeagueCsvEscapeFormula or honors the config('app.escape formulas') setting. An authenticated low-privilege user with ordinary create/edit rights on any record whose free-text fields appear in the report (asset name/tag, company name, category, model, or assignee display name) can set such a field to a value beginning with =, +, -, @, tab, or CR. When a user with reports.view privileges requests the export (POST /reports/unaccepted assets) for a pending checkout acceptance referencing the poisoned record and opens the resulting CSV in Excel, LibreOffice Calc, or Google Sheets, the injected content is evaluated as a formula in the downloader's spreadsheet context, enabling data exfiltration (e.g., HYPERLINK/WEBSERVICE) or, on legacy Windows Excel configurations, DDE command execution. Fixed in 8.7.0.

Snipe-IT versions before 8.7.0 fail to properly scope asset acceptance report queries by company, allowing authenticated reports.view users to read pending acceptances across all companies. Attackers can access the unaccepted assets report page or CSV export to disclose cross-company inventory details and assignee names without per-row access validation.

Snipe-IT is an IT asset management application. In Snipe-IT master-branch builds after 8.6.3 (the code was never included in a tagged release), SettingsController::downloadLocationScopingReport streams the FMCS location-scoping mismatch report (GET /admin/settings/location-scoping-report.csv) through a bare fputcsv() call without applying LeagueCsvEscapeFormula, unlike the other CSV exports which honor config('app.escape formulas'). An authenticated user with ordinary create/edit rights can place a spreadsheet formula in free-text fields that appear in the report (item name, asset tag, serial, item or location company name, location name) and arrange for the record to be FMCS-mismatched so it is included in the export. When a superuser downloads the report and opens it in Excel, LibreOffice Calc, or Google Sheets with formula evaluation enabled and external-content warnings dismissed or disabled, cells beginning with =, +, -, @, tab, or CR are executed in the victim's spreadsheet context, enabling data exfiltration (e.g., HYPERLINK/WEBSERVICE) or, on Windows Excel, legacy DDE command execution. This issue is fixed in version 8.7.0.

**Nome do Software Vulnerável e Versões Afetadas** Grav Form plugin versões 8.0.6 through 9.1.19 **Description** O plugin determina qual versão do reCAPTCHA usar para validação baseando-se apenas na chave do campo de resposta presente no payload enviado. Em sites configurados para reCAPTCHA v3, um invasor anônimo pode enviar um token v3 usando o nome de campo v2 `g-recaptcha-response` em vez de `token`. Isso força a validação a usar a lógica v2, que não verifica a ação esperada nem aplica o limite de pontuação, resultando em um bypass completo da proteção contra bots. **Recommendations** Atualize o Grav Form plugin para a versão 9.1.20.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões anteriores a 2.0.19 **Description** Um problema de execução remota de código existe no filtro de ordenação do Twig. O wrapper `sortFunc` em `GravExtension.php` define o argumento `isSandboxed` como falso, permitindo que o filtro `|sort` aceite um nome de função simples dentro do sandbox. Como a lista de negação não inclui `spl autoload`, que realiza um include de PHP, um usuário autenticado com permissões de escrita de página (`admin.pages` ou `api.pages.write`) pode fornecer um payload manipulado para invocar `spl autoload` através do filtro de ordenação. Isso resulta na execução de PHP arbitrário como o usuário do servidor web. **Recommendations** Atualize o Grav para a versão 2.0.19 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Admidio versões anteriores a 5.0.12 **Descrição** A sanitização insuficiente de nomes de álbuns na funcionalidade de download de ZIP de fotos permite que usuários autenticados com direitos de criação de álbuns incluam segmentos de traversal de caminho nos nomes de entrada do arquivo. Isso permite que atacantes criem nomes de álbuns maliciosos contendo sequências de traversal de diretório—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—o que pode resultar na gravação de arquivos fora do diretório de destino quando o destinatário extrai o arquivo. **Recomendações** Atualize para a versão 5.0.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Admidio versões anteriores a 5.0.12 **Description** O software falha ao aplicar restrições de login nos endpoints de feed RSS para os módulos de fórum e anúncios. Isso permite que atacantes não autenticados recuperem tópicos de fórum e anúncios enviando requisições GET para os endpoints 'rss/forum.php' e 'rss/announcements.php', resultando na divulgação de títulos, texto completo das postagens, nomes de autores e carimbos de data/hora. **Recommendations** Atualize para a versão 5.0.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** multer versões anteriores a 2.3.0 **Description** Um problema de negação de serviço existe no middleware utilizado para lidar com multipart/form-data em Node.js. Um invasor remoto pode bloquear o event loop enviando uma requisição multipart contendo dois nomes de campos de texto especialmente manipulados. O primeiro campo utiliza um índice de array numérico grande para alocar um array esparso de comprimento máximo, e um segundo campo com uma chave não numérica dispara uma iteração síncrona de comprimento total dentro da dependência append-field, impedindo que o processo processe outras requisições. **Recommendations** Atualize para a versão 2.3.0 e configure a opção `limits.fieldArrayIndexLimit` para o índice de array máximo necessário pela aplicação.

**Nome do Software Vulnerável e Versões Afetadas** Foreman (versões afetadas não especificadas) **Descrição** Existe um problema onde o endpoint de revisão de template não aplica a autorização a nível de objeto ao recuperar uma revisão de template auditada. Um usuário autenticado com baixos privilégios e permissões relacionadas a templates, como `view ptables`, pode acessar conteúdos históricos de templates de outras organizações ou locais ao fornecer o ID de auditoria correspondente. Isso pode resultar na divulgação não autorizada de dados sensíveis, incluindo informações de configuração, credenciais ou segredos. Os endpoints de revisão da REST API não são afetados por este problema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** community.general Ansible collection (versões afetadas não especificadas) **Description** Uma falha existe no módulo `ipa getkeytab` onde o parâmetro `bind pw`, utilizado para senhas de bind simples LDAP durante a recuperação de keytabs Kerberos, não possui a declaração `no log`. Isso faz com que a senha seja registrada em texto claro no journal do sistema ou syslog do host gerenciado, incluída nos valores de retorno e na saída detalhada (verbose), e exibida nas saídas de jobs do Automation Controller ou AWX. Adicionalmente, a senha é passada via linha de comando para o auxiliar `ipa-getkeytab` através da flag `--bindpw`, tornando-a visível na lista de processos para usuários locais durante a execução. Um invasor com acesso a esses logs, saídas ou à tabela de processos poderá obter a credencial de bind do diretório e comprometer contas e objetos acessíveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, evite usar o parâmetro `bind pw` no módulo `ipa getkeytab` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** rclone versões anteriores a 1.75.0 **Descrição** O software monta o manipulador de depuração pprof como sua própria rota de roteador, ignorando a regra de autenticação fail-closed no manipulador principal. Isso permite o acesso não autenticado ao endpoint '/debug/pprof/cmdline', possibilitando a recuperação do argv completo do processo, que pode incluir credenciais de backend. **Recomendações** Atualize o rclone para a versão 1.75.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** NLTK versões anteriores a 3.10.3 **Description** A validação insuficiente de opções de JVM passadas através do parâmetro `options` na função `java()` permite a injeção de flags de JVM perigosas. Ao fornecer opções maliciosas como `-agentpath`, `-javaagent` ou `@argfile` para as classes wrapper do Stanford, um invasor pode alcançar a execução arbitrária de código. **Recommendations** Atualize para a versão 3.10.3 ou posterior. Como mitigação temporária, restrinja ou evite passar entradas não confiáveis para o parâmetro `options` da função `java()`.

**Nome do Software Vulnerável e Versões Afetadas** phpMyFAQ versões anteriores a 4.1.7 **Description** O software falha ao persistir o desafio de login WebAuthn gerado pela função `prepareForLogin()`, pois o controlador WebAuthn não salva os objetos de chave mutados de volta no banco de dados. Durante o login, a comparação anti-replay é ignorada por um guarda nulo. Isso permite que um invasor que capture uma asserção WebAuthn bem-sucedida a reproduza indefinidamente para se autenticar como um usuário sem a necessidade de interação ou de uma chave de hardware. **Recommendations** Atualize para a versão 4.1.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** phpMyFAQ versões anteriores a 4.1.7 **Description** Existe um problema onde o software falha ao validar o status ativo de uma entrada de FAQ no endpoint de exportação de PDF. Isso permite que atacantes não autenticados recuperem metadados de FAQs em rascunho ou não publicados ao acessar a rota pública de exportação de PDF usando identificadores sequenciais de FAQ. As informações expostas incluem títulos, IDs de solução, nomes de autores e carimbos de data/hora da última atualização. **Recommendations** Atualize para a versão 4.1.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** phpMyFAQ versões anteriores a 4.1.7 **Description** A aplicação falha ao aplicar a permissão `CONFIGURATION EDIT` em endpoints de leitura da API administrativa para as configurações de LDAP, Elasticsearch, OpenSearch e dashboard, permitindo que qualquer usuário autenticado acesse dados administrativos sensíveis. Atacantes podem recuperar a topologia do servidor LDAP, nomes de contas de bind, bases de pesquisa, estatísticas de índice e análises do site ao chamar esses endpoints com uma sessão válida. **Recommendations** Atualize para a versão 4.1.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** phpMyFAQ versões anteriores a 4.1.7 **Description** Quando configurado para usar PostgreSQL via a extensão PHP pgsql nativa, o software declara um caractere LIKE ESCAPE incorreto ('=') no backend Search/Database/Pgsql.php, enquanto a função `escapeLikeWildcards()` escapa a entrada do usuário com o prefixo '|'. Essa discrepância torna a filtragem de caracteres curinga ineficaz, permitindo que os caracteres `%` e ` ` fornecidos pelo usuário permaneçam ativos como curingas LIKE. Um invasor não autenticado pode usar esses caracteres no formulário de pesquisa pública do FAQ para forçar correspondências de padrões amplas e varreduras sequenciais dispendiosas, resultando em uma negação de serviço. Este problema não permite a injeção de SQL ou a exfiltração de dados, pois as aspas permanecem escapadas. **Recommendations** Atualize o phpMyFAQ para a versão 4.1.7 ou posterior.

Grav plugin-api before 1.0.15 contains a script injection vulnerability where the SVG sanitizer only checks for the exact extension 'svg', allowing .svgz and .xhtml files to bypass sanitization and be stored unsanitized. Attackers with api.media.write permission can upload files containing executable script payloads that execute in the site origin when accessed by administrators or visitors.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões anteriores a 2.0.15 **Description** Um problema de gravação arbitrária de arquivos existe na validação de bare-function de dados dinâmicos do Blueprint devido ao uso de uma denylist incompleta em vez de uma allowlist positiva. Usuários com acesso de edição de página ou configuração de blueprint podem acionar a função `error log()` através de uma diretiva de dados para anexar payloads PHP a arquivos acessíveis via web, o que pode levar à execução remota de código. **Recommendations** Atualize o Grav para a versão 2.0.15 ou posterior.

Grav Form Plugin before 9.1.19 fails to escape field-definition properties including prepend, append, spacer text, section text, and select option labels in form templates. Attackers with form authoring privileges can inject arbitrary HTML and JavaScript that executes for all form visitors through unescaped |raw filters and unquoted attributes.