Dawid Czarnecki

An issue was discovered in the app/Controller/AppController.php file, where it mishandles parameter parsing.

An issue was discovered in the app/Model/AppModel.php file, where it lacks a checkParam function for characters such as alphanumerics, underscore, dash, period, and space.

An issue was discovered in the app/Model/AppModel.php file, where it mishandles filters.

An issue was discovered in the app/Model/AppModel.php file, where it mishandles order clauses.

An issue was discovered where the app/Controller/Component/IndexFilterComponent.php file does not properly filter out query parameters.

The issue allows an unauthenticated remote attacker to access internal information about the application, such as versions, host names, or IP addresses. No personal information or application data was exposed.

The issue is related to an XSS in authkey add via a Referer field in the app/View/AuthKeys/authkey display.ctp file.

O problema está relacionado a Cross-Site Scripting (XSS) no envio de arquivos de modelo, especificamente no arquivo app/View/Templates/upload file.ctp. Isso permite a execução de scripts maliciosos.

A vulnerabilidade permite ataques XXE por meio de um documento XML, levando à divulgação do hash NTLMv2-SSP. Isso ocorre durante o processamento de um documento XML malicioso.

O problema está relacionado a permissões de arquivo inadequadas no Perfil Público, o que pode levar à divulgação do conteúdo dos arquivos ou à escalada de privilégios.

Foi detectada uma falha no MISP que permite a deserialização de arquivos PHAR.

O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS) no arquivo app/Controller/OrganisationsController.php, especificamente em situações que envolvem uma “página com uma única caixa de seleção”.

O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS) na visualização do Cerebrate. Isso ocorre quando um administrador insere uma URL `javascript:` no campo `URL` e outro administrador clica nela, permitindo a execução de código JavaScript malicioso.

Foi descoberta uma falha no gráfico de eventos por meio de um nome de tag, permitindo XSS armazenado.

O problema está relacionado a um ataque XSS armazenado nos clusters do Galaxy.

Foi descoberta uma vulnerabilidade no MISP, na qual há armazenamento de XSS através do campo de login do LinOTP.

Foi descoberta uma falha que permitia que um usuário sem privilégios editasse e modificasse grupos de compartilhamento devido a uma ACL incorreta do grupo de compartilhamento.

Foi identificada uma falha que permite a enumeração de nomes de usuário.

Foi descoberta uma falha que permite XSS refletido nas descrições de formulários por meio de uma descrição controlada pelo usuário. Isso ocorre no componente genericForm.

**Nome do software vulnerável e versões afetadas: Versões 4.12.5 e anteriores do KNIME Server Versões 4.13.x anteriores à 4.13.4 do KNIME Server Descrição: A vulnerabilidade permite que usuários locais leiam a senha do administrador a partir de um arquivo devido a controles de acesso a arquivos inadequados quando o software é instalado no modo desassistido. Recomendações: Para as versões 4.12.5 e anteriores do KNIME Server, atualize para a versão 4.12.6 ou posterior. Para as versões 4.13.x anteriores à 4.13.4 do KNIME Server, atualize para a versão 4.13.4 ou posterior.