Classif1Ed_Mick

**Nome do Software Vulnerável e Versões Afetadas** node-poppler versões 9.1.2 e 10.0.1 **Descrição** Uma falha de injeção de argumento existe no componente Argument Injection Handler dentro do arquivo `src/index.js`. Um invasor remoto pode disparar este problema ao manipular o argumento `file path` utilizado nas seguintes funções: `pdfInfo()`, `pdfToText()`, `pdfToCairo()`, `pdfToPpm()`, `pdfImages()`, `pdfToHtml()`, `pdfToPs()`, `pdfFonts()`, `pdfDetach()`, `pdfAttach()`, `pdfSeparate()` e `pdfUnite()`. **Recomendações** Aplicar o patch db6e3f79d3beb20601be7e59669c39811ae3c330 para a versão 9.1.2. Aplicar o patch db6e3f79d3beb20601be7e59669c39811ae3c330 para a versão 10.0.1.

**Nome do Software Vulnerável e Versões Afetadas** peerigon unzip-crx versões anteriores a 0.2.1 peerigon unzip-crx-3 versões anteriores a 0.2.1 **Description** Uma falha de path traversal existe no componente Archive Extraction dentro da função `unzip()` do arquivo `dist/index.js`. Um invasor local pode manipular o argumento `destination` para acessar ou sobrescrever arquivos fora do diretório pretendido. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis, como caminhos de arquivos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** cleverbrush framework and deep versões anteriores a 4.4.1 **Description** Ocorre Poluição de Protótipo (Prototype Pollution) na função `deepExtend()` dentro do arquivo `libs/deep/src/deepExtend.ts`. Este problema permite a modificação inadequadamente controlada de atributos de protótipo de objetos, a qual pode ser explorada remotamente. **Recommendations** Atualize para a versão 4.4.1.

**Nome do Software Vulnerável e Versões Afetadas** zackees transcribe-anything versões anteriores a 4.1.1 **Description** Uma falha no componente Yt-dlp Download permite a injeção de comandos de sistema operacional (os command injection) remotamente. O problema ocorre na função `ytdlp download()` localizada no arquivo `src/transcribe anything/ytldp download.py` quando o argumento `url` é manipulado. OS command injection é uma vulnerabilidade que permite a um invasor executar comandos arbitrários do sistema operacional no servidor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso do argumento `url` na função `ytdlp download()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** mcp-ffmpeg-helper versões 0.1.0 até 0.2.1 **Description** Um problema de injeção de comando de SO existe no componente Tool Handler, especificamente na função `handleToolCall()` localizada no arquivo `src/tools/handlers.ts`. Isso ocorre quando o argumento `format` é manipulado, permitindo a execução de comandos arbitrários do sistema operacional. O acesso local é necessário para explorar essa falha. **Recommendations** Como medida paliativa temporária, restrinja o uso da função `handleToolCall()` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.