Claudia Bartolini

**Nome do Software Vulnerável e Versões Afetadas** Eclipse GlassFish versão 7.0.15 **Descrição** O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site Scripting refletido no Console de Administração. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Eclipse GlassFish versão 7.0.15 **Descrição** Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Eclipse GlassFish versão 7.0.15 **Descrição** O Eclipse GlassFish versão 7.0.15 é suscetível a ataques de Cross-site Scripting Armazenado. Os ataques podem ser realizados mediante a modificação do arquivo de configuração no sistema operacional subjacente. **Recomendações** Modifique o arquivo de configuração para impedir a injeção de scripts maliciosos.

**Nome do Software Vulnerável e Versões Afetadas** Eclipse GlassFish versão 7.0.15 **Descrição** O Eclipse GlassFish versão 7.0.15 está suscetível a ataques de Cross-site scripting armazenado no Console de Administração. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Eclipse GlassFish versões 7.0.16 e anteriores **Descrição** O Eclipse GlassFish está suscetível a ataques de força bruta no login devido à ausência de restrições quanto ao número de tentativas de login falhas. **Recomendações** Aplique uma configuração para limitar o número de tentativas de login falhas.

Nome do Software Vulnerável e Versões Afetadas: Versões do Puppet Enterprise de 2018.1.8 a 2023.8.3 Versão do Puppet Enterprise 2025.3 Descrição: Um usuário com permissões específicas de edição de grupo de nós e um `parâmetro de classe` especialmente construído poderia executar comandos como root no host primário. Recomendações: Para as versões do Puppet Enterprise de 2018.1.8 a 2023.8.3, atualize para a versão 2023.8.4. Para a versão do Puppet Enterprise 2025.3, atualize para a versão 2025.4.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Payara Server de 4.1.2.1919.1 até 4.1.2.191.51 Versões do Payara Server de 5.20.0 até 5.68.0 Versões do Payara Server de 6.0.0 até 6.23.0 Versões do Payara Server de 6.2022.1 até 6.2025.2 **Descrição** O problema afeta o Payara Server, permitindo inclusão de código remoto devido à neutralização inadequada de entrada durante a geração de páginas web, também conhecido como cross-site scripting. **Recomendações** Para as versões do Payara Server de 4.1.2.1919.1 até 4.1.2.191.51, atualize para a versão 4.1.2.191.51 ou posterior. Para as versões do Payara Server de 5.20.0 até 5.68.0, atualize para a versão 5.68.0 ou posterior. Para as versões do Payara Server de 6.0.0 até 6.23.0, atualize para a versão 6.23.0 ou posterior. Para as versões do Payara Server de 6.2022.1 até 6.2025.2, atualize para a versão 6.2025.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Wildfly (versões afetadas não especificadas) **Descrição** Foi encontrada uma falha na integração do Wildfly Elytron, na qual o componente não implementa medidas suficientes para impedir múltiplas tentativas de autenticação malsucedidas em um curto intervalo de tempo. Isso o torna mais suscetível a ataques de força bruta via Interface de Linha de Comando (CLI). **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do WildFly anteriores à 27.0.1.Final **Descrição** Foi encontrada uma falha no provedor de Controle de Acesso Baseado em Funções (RBAC) do Servidor WildFly. Quando a autorização para controlar operações de gerenciamento é protegida usando o provedor de Controle de Acesso Baseado em Funções, um usuário sem os privilégios necessários pode suspender ou retomar o servidor. Um usuário com a função de Monitor ou Auditor deveria ter apenas permissões de acesso somente leitura e não deveria ser capaz de suspender o servidor. A vulnerabilidade é causada pelo fato de os manipuladores de Suspensão e Retomada não realizarem verificações de autorização para validar se o usuário atual possui as permissões necessárias para prosseguir com a ação. **Recomendações** Para versões anteriores à 27.0.1.Final, atualize para o WildFly Core 27.0.1.Final para resolver o problema. Como solução temporária, considere restringir o acesso aos manipuladores de Suspensão e Retomada até que uma correção esteja disponível. Restrinja o acesso às operações de gerenciamento para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** Wildfly component versions prior to HAL 3.7.7.Final **Description** A flaw was found in the HAL Console in the Wildfly component, which does not neutralize or incorrectly neutralizes user-controllable input before it is placed in output used as a web page that is served to other users. The attacker must be authenticated as a user that belongs to management groups “SuperUser”, “Admin”, or “Maintainer”. This issue can lead to a cross-site scripting (XSS) vulnerability in the management console. **Recommendations** For versions prior to HAL 3.7.7.Final, update to HAL 3.7.7.Final to resolve the issue. As a temporary workaround, consider restricting access to the management console for users belonging to the “SuperUser”, “Admin”, or “Maintainer” groups until the update is applied.

Nome do software vulnerável e versões afetadas: Payara Server, versões 4.1.2.191.1 a 4.1.2.191.50 Payara Server, versões 5.20.0 a 5.67.0 Payara Server, versões 6.0.0 a 6.18.0 Versões do Payara Server 6.2022.1 a 6.2024.9 Descrição: A vulnerabilidade afeta o Payara Server, especificamente os módulos do Console de Administração, devido a uma neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting (XSS). Isso permite a inclusão remota de código. Recomendações: Para as versões do Payara Server 4.1.2.191.1 a 4.1.2.191.50, atualize para a versão 4.1.2.191.51 ou posterior. Para as versões do Payara Server 5.20.0 a 5.67.0, atualize para a versão 5.68.0 ou posterior. Para as versões 6.0.0 a 6.18.0 do Payara Server, atualize para a versão 6.19.0 ou posterior. Para as versões 6.2022.1 a 6.2024.9 do Payara Server, atualize para a versão 6.2024.10 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do Eclipse Glassfish anteriores à 7.0.17 **Descrição** O parâmetro Host HTTP pode fazer com que a aplicação web redirecione para a URL especificada quando o endpoint solicitado for “/management/domain”. Ao alterar o valor da URL para um site malicioso, um invasor pode lançar com sucesso um esquema de phishing e roubar as credenciais do usuário. **Recomendações** Para versões do Eclipse Glassfish anteriores à 7.0.17, como solução temporária, considere restringir o acesso ao endpoint “/management/domain” até que uma correção esteja disponível. Evite usar o parâmetro Host HTTP no endpoint afetado para minimizar o risco de exploração. Atualize para a versão 7.0.17 ou posterior para resolver o problema.

Nome do software vulnerável e versões afetadas: Versões do Payara Server de 4.1.2.191.0 a 4.1.2.191.50 Versões do Payara Server de 5.20.0 a 5.67.0 Versões do Payara Server de 5.2020.2 a 5.2022.5 Versões do Payara Server de 6.0.0 a 6.18.0 Versões do Payara Server de 6.2022.1 a 6.2024.9 Descrição: A vulnerabilidade afeta o Payara Server da Payara Platform, especificamente os módulos de registro, permitindo que credenciais confidenciais sejam postadas em texto simples no log do servidor. Isso expõe informações confidenciais a agentes não autorizados. Recomendações: Para as versões do Payara Server 4.1.2.191.0 a 4.1.2.191.50, atualize para a versão 4.1.2.191.50 ou posterior. Para as versões do Payara Server 5.20.0 a 5.67.0, atualize para a versão 5.67.0 ou posterior. Para as versões do Payara Server 5.2020.2 a 5.2022.5, atualize para a versão 5.2022.5 ou posterior. Para as versões do Payara Server 6.0.0 a 6.18.0, atualize para a versão 6.18.0 ou posterior. Para as versões do Payara Server 6.2022.1 a 6.2024.9, atualize para a versão 6.2024.9 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do Payara Server de 4.1.2.191.0 a 4.1.2.191.50 Versões do Payara Server de 5.20.0 a 5.67.0 Versões do Payara Server de 5.2020.2 a 5.2022.5 Versões do Payara Server de 6.0.0 a 6.18.0 Versões do Payara Server de 6.2022.1 a 6.2024.9 **Descrição** A vulnerabilidade afeta o Payara Server da Payara Platform, especificamente os módulos da Interface de Gerenciamento REST, permitindo o sequestro de sessão devido a uma vulnerabilidade de redirecionamento de URL para um site não confiável (“Open Redirect”). **Recomendações** Para as versões do Payara Server 4.1.2.191.0 a 4.1.2.191.50, atualize para a versão 4.1.2.191.50 ou posterior. Para as versões do Payara Server 5.20.0 a 5.67.0, atualize para a versão 5.67.0 ou posterior. Para as versões do Payara Server 5.2020.2 a 5.2022.5, atualize para a versão 5.2022.5 ou posterior. Para as versões do Payara Server 6.0.0 a 6.18.0, atualize para a versão 6.18.0 ou posterior. Para as versões do Payara Server 6.2022.1 a 6.2024.9, atualize para a versão 6.2024.9 ou posterior.