Daniel

Um problema de manipulação de caminho existe devido a uma validação insuficiente. Um invasor com acesso físico a um dispositivo emparelhado de confiança pode explorar isso para ler e gravar arquivos arbitrários.

Existe uma falha no CivicTheme Design System que permite Cross-Site Scripting (XSS). Isso ocorre devido à neutralização inadequada de entrada durante a geração da página web. O problema impacta a maneira como os dados fornecidos pelo usuário são tratados, potencialmente permitindo que atacantes injetem scripts maliciosos em páginas web visualizadas por outros usuários.

Existe um problema de autorização incorreta no CivicTheme Design System que permite navegação forçada. Isso ocorre devido a controles de acesso insuficientes, potencialmente permitindo acesso não autorizado a recursos.

A Extensão Lockdown do Mediawiki contém uma falha relacionada à atribuição incorreta de permissões para recursos críticos, o que permite o abuso de privilégios. O problema reside no módulo compare API e permite que atacantes contornem permissões, potencialmente levando à elevação completa de privilégios sem autenticação. O problema foi corrigido na Mediawiki Core Action API.

The issue is an unauthenticated remote code execution vulnerability that can be triggered by an HTTP endpoint exposed to the network.

The issue is related to an origin bypass via the host header in an HTTP request. This can be triggered by an HTTP endpoint exposed to the network.

The issue affects devices from "PoS/ Dienstleistung, Entwicklung & Vertrieb GmbH" and allows for the leakage of the database, including system settings and user accounts. This can be triggered by an HTTP endpoint exposed to the network.

The issue allows attackers to gain sensitive information via the `success` parameter to the "/user" API endpoint. This is a Cross Site Scripting (XSS) vulnerability, which means attackers can inject malicious scripts into websites, potentially leading to unauthorized access to sensitive data.

**Nome do software vulnerável e versões afetadas: Tiny Tiny RSS (também conhecido como tt-rss) versões anteriores a 12/03/2021 Descrição: O plugin auth internal no Tiny Tiny RSS permite que um invasor faça login por meio do código OTP sem uma senha válida. Esse problema afetou apenas o branch master do git por um curto período. No entanto, todos os usuários finais são explicitamente orientados a usar o branch master do Git em produção. Recomendações: Para versões anteriores a 12/03/2021, atualize para uma versão posterior a 12/03/2021 para resolver o problema. Como solução temporária, considere desativar o plugin auth internal até que um patch esteja disponível. Restrinja o acesso à funcionalidade de login por código OTP para minimizar o risco de exploração.