Ashik Mohamed

**Nome do Software Vulnerável e Versões Afetadas** KubeSphere (versões afetadas não especificadas) **Descrição** O processo de reconciliação do cluster-controller na função `addCluster` (localizada em `pkg/utils/clusterclient/clusterclient.go`) processa configurações de conexão para recursos personalizados de Cluster. Ele chama `Discovery().ServerVersion()` contra o endpoint da API do Kubernetes especificado após realizar apenas a análise básica de sintaxe de URL via `url.Parse`. Como não há uma lista de permissão ou negação para loopback, intervalos privados RFC1918, endereços link-local ou de metadados de nuvem (como 169.254.169.254), um usuário com permissões para criar ou atualizar um CRD de Cluster pode forçar os pods do controller-manager e do apiserver a enviar solicitações externas para endpoints internos ou de metadados arbitrários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Gophish versões anteriores a 0.12.2 **Description** Usuários autenticados com a função de Usuário podem causar a negação de serviço ao fazer o upload de um documento do Office especialmente criado como anexo de modelo de e-mail. A função `ApplyTemplate()` em models/attachment.go processa esses documentos como arquivos ZIP e utiliza `ioutil.ReadAll()` em cada entrada de arquivo sem impor restrições de tamanho ao conteúdo descompactado. Isso permite que uma bomba ZIP—um arquivo malicioso projetado para expandir para um tamanho enorme quando descompactado—consuma vários gigabytes de memória do servidor, levando o sistema operacional a encerrar o processo. **Recommendations** Atualize o Gophish para a versão 0.12.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CodeAstro Human Resource Management System versão 1.0 **Description** Um problema de cross-site scripting armazenado existe no componente Notice Board Management, no arquivo '/notice/All notice'. Um invasor remoto pode executar isso manipulando o argumento `Notice Title` por meio de uma requisição POST. Cross-site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.