Cataliniovita-Snyk

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 até 5.9.20 Craft CMS versões 4.0.0-RC1 até 4.17.13 **Description** Existe um problema de autorização onde a movimentação forçada de uma pasta pode excluir uma pasta de destino conflitante, mesmo que o usuário não possua as permissões de exclusão de destino necessárias. A função `craftcontrollersAssetsController::actionMoveFolder()` permite mover uma pasta de ativos para uma pasta pai de destino. Quando uma pasta com o mesmo nome já existe no destino, a ação pode ser executada com o parâmetro `force` definido como `true` para sobrescrever o destino. O sistema não verifica as permissões `deleteAssets` no volume de destino ou na pasta conflitante, permitindo a exclusão da pasta de destino e de seu conteúdo. Isso pode causar perda de ativos, referências quebradas em entradas e campos, e interrupção operacional. **Recommendations** Atualize o Craft CMS para a versão 5.9.21. Atualize o Craft CMS para a versão 4.17.14.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 4.0.0-RC1 até 4.17.13 Craft CMS versões 5.0.0-RC1 até 5.9.20 **Descrição** Existe um problema de autorização na função `AssetsController::actionReplaceFile()`. O sistema permite a substituição de um arquivo de ativo de destino usando outro ativo existente como fonte. Quando tanto o `assetId` quanto o `sourceAssetId` são fornecidos, a verificação de permissão é realizada apenas no ativo de destino, ignorando a verificação de exclusão para o volume do ativo de origem. Consequentemente, um usuário autenticado com permissões de substituição em um volume pode excluir ativos em outro volume onde não possui permissões de exclusão, desde que possua o `sourceAssetId`. Isso pode resultar em perda de dados e referências de conteúdo quebradas. **Recomendações** Atualizar o Craft CMS versões 4.0.0-RC1 até 4.17.13 para a versão 4.17.14. Atualizar o Craft CMS versões 5.0.0-RC1 até 5.9.20 para a versão 5.9.21.

**Nome do Software Vulnerável e Versões Afetadas** Mongoose versões anteriores a 6.13.9 Mongoose versões anteriores a 7.8.9 Mongoose versões anteriores a 8.22.1 Mongoose versões anteriores a 9.1.6 **Description** Uma falha no mecanismo de sanitização de consultas `sanitizeFilter` permite que ele seja ignorado por meio do operador `$nor`. Quando o `sanitizeFilter` está ativo, o Mongoose normalmente envolve os operadores de consulta em `$eq` para neutralizá-los. No entanto, o `$nor` não era sanitizado recursivamente. Como o `$nor` aceita um array e arrays não acionam a função `hasDollarKeys()`, operadores maliciosos como `$ne`, `$gt` ou `$regex` podem ser injetados dentro de uma cláusula `$nor`. Isso pode levar ao bypass de autenticação, acesso não autorizado a dados ou exfiltração de dados em aplicações que passam entradas controladas pelo usuário sem sanitização diretamente para métodos de consulta e dependem do `sanitizeFilter` para proteção. **Recommendations** Atualize para a versão 6.13.9 ou posterior. Atualize para a versão 7.8.9 ou posterior. Atualize para a versão 8.22.1 ou posterior. Atualize para a versão 9.1.6 ou posterior. Como medida paliativa temporária, exclua as chaves `$nor`, utilize uma biblioteca de validação de esquema adicional ou implemente um middleware para remover o `$nor` dos filtros de consulta.

**Name of the Vulnerable Software and Affected Versions** Dify versions prior to 1.11.2 **Description** Dify, an open-source LLM app development platform, contains a stored cross-site scripting (XSS) issue when rendering Mermaid diagrams within chats. The issue stems from Dify’s default Mermaid configuration utilizing a `securityLevel` of `loose`, which permits the execution of potentially unsafe content. **Recommendations** Update to version 1.11.2 or later.