Devnoscope

**Nome do Software Vulnerável e Versões Afetadas** alf.io versões anteriores a 2.0-M5-2606 **Description** Um problema de escape de sandbox existe no motor de scripts de extensão do alf.io, um sistema de reserva de ingressos de código aberto. Um administrador autenticado pode executar comandos arbitrários do sistema operacional no servidor. O sistema utiliza um ambiente Rhino em sandbox para executar JavaScript restrito; no entanto, o uso de um objeto Java injetado sem proteção `returnClass` combinado com uma lista de bloqueio AST (Abstract Syntax Tree) incompleta permite que o sandbox seja evadido via reflexão de Java. Esta falha pode ser acionada através da Extensions API. **Recommendations** Atualize o alf.io para a versão 2.0-M5-2606.

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões anteriores a 1.26.2 Forgejo versões anteriores a 1.26.2 **Description** Uma falha de controle de acesso existe no registro de contêineres e no tratamento de pacotes Composer. O problema permite que invasores remotos não autenticados extraiam imagens de contêineres privadas e visualizem links de origem de pacotes Composer privados ou internos. Isso ocorre porque o sistema não aplica corretamente a flag de privacidade e carece de verificações de permissão suficientes ao renderizar ou servir metadados de origem de pacotes. Um invasor pode explorar isso consultando endpoints de pacotes Composer ou enviando solicitações anônimas padrão de pull Docker/OCI para a API do registro. Esta falha persistiu por quase quatro anos e afeta potencialmente mais de 30.000 implantações em todo o mundo, incluindo aproximadamente 4.000 sistemas de produção em grandes plataformas de nuvem. A exposição desses dados pode levar à divulgação de informações sensíveis, como código-fonte, segredos e detalhes de infraestrutura interna. **Recommendations** Atualize o Gitea para a versão 1.26.2. Atualize o Forgejo para a versão 1.26.2. Como solução temporária, habilite a configuração `REQUIRE SIGNIN VIEW` para impor a autenticação no acesso a todo o conteúdo.