Davidbors-Snyk

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 até 5.9.20 Craft CMS versões 4.0.0-RC1 até 4.17.13 **Description** Existe um problema de autorização onde a movimentação forçada de uma pasta pode excluir uma pasta de destino conflitante, mesmo que o usuário não possua as permissões de exclusão de destino necessárias. A função `craftcontrollersAssetsController::actionMoveFolder()` permite mover uma pasta de ativos para uma pasta pai de destino. Quando uma pasta com o mesmo nome já existe no destino, a ação pode ser executada com o parâmetro `force` definido como `true` para sobrescrever o destino. O sistema não verifica as permissões `deleteAssets` no volume de destino ou na pasta conflitante, permitindo a exclusão da pasta de destino e de seu conteúdo. Isso pode causar perda de ativos, referências quebradas em entradas e campos, e interrupção operacional. **Recommendations** Atualize o Craft CMS para a versão 5.9.21. Atualize o Craft CMS para a versão 4.17.14.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 4.0.0-RC1 até 4.17.13 Craft CMS versões 5.0.0-RC1 até 5.9.20 **Descrição** Existe um problema de autorização na função `AssetsController::actionReplaceFile()`. O sistema permite a substituição de um arquivo de ativo de destino usando outro ativo existente como fonte. Quando tanto o `assetId` quanto o `sourceAssetId` são fornecidos, a verificação de permissão é realizada apenas no ativo de destino, ignorando a verificação de exclusão para o volume do ativo de origem. Consequentemente, um usuário autenticado com permissões de substituição em um volume pode excluir ativos em outro volume onde não possui permissões de exclusão, desde que possua o `sourceAssetId`. Isso pode resultar em perda de dados e referências de conteúdo quebradas. **Recomendações** Atualizar o Craft CMS versões 4.0.0-RC1 até 4.17.13 para a versão 4.17.14. Atualizar o Craft CMS versões 5.0.0-RC1 até 5.9.20 para a versão 5.9.21.

**Nome do Software Vulnerável e Versões Afetadas** Versões do FastAPI Users anteriores à 15.0.2 **Descrição** O FastAPI Users é um sistema projetado para adicionar registro e autenticação a projetos FastAPI. Existe uma vulnerabilidade de Cross-Site Request Forgery (CSRF) de login porque os tokens de estado de login OAuth são sem estado e carecem de entropia por solicitação ou de dados que os vinculem à sessão de origem. A função `generate state token()` utiliza sempre um dicionário `state data` vazio, resultando em um JWT contendo apenas um claim de audiência fixo e um timestamp de expiração. No callback, a biblioteca verifica apenas a assinatura e a expiração do JWT, sem correlacioná-lo ao navegador de origem ou utilizar um cache no lado do servidor. Um atacante pode capturar o estado gerado pelo servidor, concluir o fluxo OAuth com sua própria conta e, em seguida, induzir uma vítima a carregar uma URL de callback manipulada. Isso permite que o atacante potencialmente assuma o controle da conta da vítima ou faça a vítima logar na conta do atacante. O **endpoint da API** `/authorize` e `/callback?code=<attacker code>&state=<attacker state>` estão envolvidos nesta questão. A função vulnerável é `generate state token()`. **Recomendações** Atualize para a versão 15.0.2 ou posterior do FastAPI Users.