Drxyj

A weakness has been identified in extension.vn 2FA Authenticator Extension 1.0.0.2 on Chrome. The impacted element is the function chrome.runtime.onMessageExternal.addListener of the component Background Service Worker. Executing a manipulation of the argument sender.id can lead to information disclosure. The attack requires local access. The exploit has been made available to the public and could be used for attacks. The vendor was contacted early about this disclosure.

A vulnerability was identified in Inbox Foundry ActiveInbox Extension up to 7.10.24 on Chrome. Impacted is an unknown function of the file dist/service-worker.production-esm.js of the component Google OAuth Client Secret. Such manipulation leads to hard-coded credentials. The attack can be executed remotely. The exploit is publicly available and might be used. The vendor was informed beforehand about the issue. The support explains, that "[a]t the moment, the [bug bounty] programme is on hold while we work through a large number of existing reports."

**Nome do Software Vulnerável e Versões Afetadas** vidIQ Vision for YouTube Extension versão 3.199.0 **Description** Um problema de divulgação de informações remotas existe no componente postMessage Handler. A falha ocorre na função `window.addEventListener()` quando o argumento `vidiqEvent` é manipulado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** BEN Group TubeBuddy for YouTube Extension versões anteriores a 5.8.5 **Descrição** Ocorre uma verificação insuficiente da autenticidade dos dados na função `TBGlobal.GetToken()` localizada no arquivo `tubebuddymaster1.js`. Um invasor remoto pode explorar isso manipulando o argumento `t/c/r`. **Recomendações** Atualize o BEN Group TubeBuddy for YouTube Extension para a versão 5.8.5 ou posterior. Como mitigação temporária, restrinja o uso da função `TBGlobal.GetToken()` até que a atualização seja aplicada.

A security vulnerability has been detected in Toggl OÜ Toggl Track Extension 4.11.16. This affects an unknown function of the component postMessage Handler. The manipulation leads to origin validation error. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used. The vendor was contacted early about this disclosure but did not respond in any way.

**Nome do Software Vulnerável e Versões Afetadas** Orange View Limited DualSafe Password Manager & Digital Vault Extension versões anteriores a 1.4.36 **Descrição** Uma falha existe no componente postMessage-based Bridge da extensão no Chrome. Um invasor remoto pode realizar uma manipulação de uma função desconhecida dentro deste componente para causar a divulgação de informações. Este ataque é caracterizado por alta complexidade e é considerado difícil de explorar. **Recomendações** Atualize a extensão para uma versão posterior a 1.4.35.

**Nome do Software Vulnerável e Versões Afetadas** Adblock for Youtube Extension versões anteriores a 7.2.2 **Description** Um problema de autorização inadequada existe no componente Event Listener dentro do arquivo `contentscript.js`. A falha ocorre na função `updateDynamicRules()` quando o argumento `yt-anti-adblock-detected` é manipulado, permitindo que um invasor remoto inicie um ataque. **Recommendations** Como medida paliativa temporária, restrinja o uso da função `updateDynamicRules()` no arquivo `contentscript.js` até que uma correção seja fornecida. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Alaev SEO Tools Extension versões anteriores a 1.0.11 **Description** Um problema de cross-site scripting remoto existe no componente Popup UI dentro do arquivo `src/popup.html`. A falha está localizada na função `addDiv()`, onde a manipulação inadequada permite que um invasor execute scripts maliciosos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso da função `addDiv()` no arquivo `src/popup.html` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** eyeo Adblock Plus versões anteriores a 4.36.3 **Descrição** Controles de acesso inadequados existem no componente Legacy Premium Activation, especificamente na função `postMessage()` do arquivo `premium.preload.js`. Isso permite a exploração remota por meio de manipulação, embora o caminho de código afetado faça parte de um fluxo de ativação depreciado. O servidor de licenciamento emite licenças experimentais de curta duração (aproximadamente 24 horas) para qualquer `userId` enviado, que expiram na próxima validação caso nenhuma assinatura válida seja encontrada. **Recomendações** Atualize o componente afetado para uma versão posterior a 4.36.2.

**Name of the Vulnerable Software and Affected Versions** SeaCMS version 11.6 **Description** A problematic issue affects the Picture Upload Handler component, specifically the file member.php, where the manipulation of the `oldpic` argument leads to denial of service. The attack can be initiated remotely. **Recommendations** For SeaCMS version 11.6, consider restricting access to the Picture Upload Handler component until a fix is available. As a temporary workaround, avoid using the `oldpic` argument in the affected file member.php to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** SourceCodester Guest Management System version 1.0 **Description** A problematic issue has been found in the file dateTest.php of the component GET Parameter Handler. The manipulation of the `name` argument leads to cross-site scripting. The attack may be launched remotely. The exploit has been disclosed to the public and may be used. **Recommendations** For SourceCodester Guest Management System version 1.0, consider disabling the `dateTest.php` file or restricting access to the GET Parameter Handler component until a patch is available. Avoid using the `name` argument in the affected API endpoint until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this issue.