De3Erve

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.1-beta **Description** Existe um problema onde os destinos de webhook são validados apenas durante o registro e não durante o uso. A função `NoInternalUrlRule` em `backend/app/Validators/Rules/NoInternalUrlRule.php` utiliza `gethostbyname()` para rejeitar intervalos de IP privados e reservados, mas nomes de host públicos são permitidos. Durante o despacho, o `WebhookDispatchService` utiliza a URL armazenada via `spatie/laravel-webhook-server` sem revalidar o destino. Como o arquivo `backend/config/webhook-server.php` não configura as opções do Guzzle, o seguimento de redirecionamentos permanece ativado por padrão. Isso permite que um destino redirecione o servidor para um endereço de loopback, privado ou de metadados de nuvem, ou permite que um invasor altere um registro de DNS após o registro para alcançar o mesmo resultado. O `WebhookResponseHandlerService` armazena o corpo da resposta no log do webhook, que é então exposto através do endpoint `WebhookLogResource`, permitindo que o solicitante leia respostas de serviços internos. Isso afeta tanto os webhooks de eventos quanto os de organizadores. **Recommendations** Atualize o Hi.Events para a versão 1.11.1-beta.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado. (versões afetadas não especificadas) **Descrição** O endpoint de vinculação de equipe ao repositório ignora a configuração da organização `RepoAdminChangeTeamAccess`, que tem como objetivo controlar se os administradores do repositório podem alterar o acesso da equipe. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões anteriores a 1.26.5 **Description** Um problema de controle de acesso quebrado existe na função `RemoveDependency` em `routers/web/repo/issue dependency.go`. A função processa o parâmetro de formulário `removeDependencyID` para identificar e remover uma dependência de issue usando `issues model.GetIssueByID(ctx, depID)` sem realizar as verificações de repositório ou permissão necessárias. Isso permite que um invasor com acesso de escrita a issues em um repositório remova um link de dependência para uma issue em um repositório privado diferente e injete um comentário nesse repositório privado, mesmo sem ter acesso de leitura a ele. Trata-se de uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário sem a autorização suficiente. **Recommendations** Atualize o Gitea para a versão 1.26.5 ou posterior. Como mitigação temporária, restrinja o uso do parâmetro `removeDependencyID` no endpoint `/owner/repo/issues/N/dependency/delete` apenas a usuários autorizados.