Daniel

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal CivicTheme Design System anteriores à 1.12.0 **Descrição** Existe uma falha no CivicTheme Design System que permite Cross-Site Scripting (XSS). Isso ocorre devido à neutralização inadequada de entrada durante a geração da página web. O problema impacta a maneira como os dados fornecidos pelo usuário são tratados, potencialmente permitindo que atacantes injetem scripts maliciosos em páginas web visualizadas por outros usuários. **Recomendações** Atualize para a versão 1.12.0 ou posterior do CivicTheme Design System.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Drupal CivicTheme Design System anteriores à 1.12.0 **Descrição** Existe um problema de autorização incorreta no CivicTheme Design System que permite navegação forçada. Isso ocorre devido a controles de acesso insuficientes, potencialmente permitindo acesso não autorizado a recursos. **Recomendações** Atualize para a versão 1.12.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Mediawiki - Extensão Lockdown versões anteriores à 1.42 **Descrição** A Extensão Lockdown do Mediawiki contém uma falha relacionada à atribuição incorreta de permissões para recursos críticos, o que permite o abuso de privilégios. O problema reside no módulo compare API e permite que atacantes contornem permissões, potencialmente levando à elevação completa de privilégios sem autenticação. O problema foi corrigido na Mediawiki Core Action API. **Recomendações** Atualize para a versão 1.42 ou posterior para resolver esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** cashIT! - serving solutions versions from "PoS/ Dienstleistung, Entwicklung & Vertrieb GmbH" to 03.A06rks 2023.02.37 **Description** The issue is an unauthenticated remote code execution vulnerability that can be triggered by an HTTP endpoint exposed to the network. **Recommendations** For versions from "PoS/ Dienstleistung, Entwicklung & Vertrieb GmbH" to 03.A06rks 2023.02.37, as a temporary workaround, consider restricting access to the exposed HTTP endpoint until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** cashIT! - serving solutions versions 03.A06rks 2023.02.37 and earlier **Description** The issue is related to an origin bypass via the host header in an HTTP request. This can be triggered by an HTTP endpoint exposed to the network. **Recommendations** For versions 03.A06rks 2023.02.37 and earlier, consider restricting access to HTTP endpoints exposed to the network as a temporary workaround until a patch is available.

**Name of the Vulnerable Software and Affected Versions** cashIT! - serving solutions versions to 03.A06rks 2023.02.37 **Description** The issue affects devices from "PoS/ Dienstleistung, Entwicklung & Vertrieb GmbH" and allows for the leakage of the database, including system settings and user accounts. This can be triggered by an HTTP endpoint exposed to the network. **Recommendations** For versions to 03.A06rks 2023.02.37, as a temporary workaround, consider restricting access to the exposed HTTP endpoint until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** AVideo versions prior to 12.4 **Description** The issue allows attackers to gain sensitive information via the `success` parameter to the "/user" API endpoint. This is a Cross Site Scripting (XSS) vulnerability, which means attackers can inject malicious scripts into websites, potentially leading to unauthorized access to sensitive data. **Recommendations** For versions prior to 12.4, update to version 12.4 or later to resolve the issue. As a temporary workaround, consider restricting access to the `/user` API endpoint to minimize the risk of exploitation. Avoid using the `success` parameter in the affected API endpoint until the issue is resolved.

**Nome do software vulnerável e versões afetadas: Tiny Tiny RSS (também conhecido como tt-rss) versões anteriores a 12/03/2021 Descrição: O plugin auth internal no Tiny Tiny RSS permite que um invasor faça login por meio do código OTP sem uma senha válida. Esse problema afetou apenas o branch master do git por um curto período. No entanto, todos os usuários finais são explicitamente orientados a usar o branch master do Git em produção. Recomendações: Para versões anteriores a 12/03/2021, atualize para uma versão posterior a 12/03/2021 para resolver o problema. Como solução temporária, considere desativar o plugin auth internal até que um patch esteja disponível. Restrinja o acesso à funcionalidade de login por código OTP para minimizar o risco de exploração.