Eclipse07077-Ljw

**Nome do Software Vulnerável e Versões Afetadas** Miniflux, versões anteriores à 2.2.16 **Descrição** Miniflux é um leitor de feeds de código aberto. Antes da versão 2.2.16, o endpoint de proxy de mídia, `GET /proxy/{encodedDigest}/{encodedURL}`, pode ser explorado para realizar um Server-Side Request Forgery (SSRF). Um usuário autenticado pode manipular o Miniflux para criar uma URL de proxy assinada para URLs de mídia especificadas pelo atacante dentro do conteúdo de entradas de feed. Essas URLs podem incluir endereços internos, como localhost, intervalos privados RFC1918 ou endpoints de metadados link-local. Ao acessar a URL `/proxy/...` gerada, o Miniflux recupera e retorna a resposta do endereço interno. **Recomendações** Atualize para a versão 2.2.16 ou posterior do Miniflux.

**Nome do Software Vulnerável e Versões Afetadas** Versões do phpMyFAQ de 4.0.14 a 4.0.15 **Descrição** O phpMyFAQ é uma aplicação web para criação de FAQs. As versões 4.0.14 e 4.0.15 contêm uma vulnerabilidade de cross-site scripting (XSS) armazenado. Um atacante pode injetar e executar código JavaScript arbitrário no navegador de um administrador. Isso é conseguido registrando um usuário com um nome de exibição contendo entidades HTML. Quando um administrador visualiza a lista de usuários administrativos, a payload é decodificada e renderizada sem o escape adequado, levando à execução de script dentro do contexto do administrador. **Recomendações** Atualize para a versão 4.0.16 ou posterior do phpMyFAQ.

**Nome do Software Vulnerável e Versões Afetadas** Versões do phpMyFAQ anteriores à 4.0.16 **Descrição** Um atacante remoto não autenticado pode acionar a geração de um arquivo ZIP de backup de configuração via o endpoint da API `/api/setup/backup`. O arquivo ZIP gerado, acessível via web, contém arquivos de configuração sensíveis, como `database.php`, que inclui credenciais de banco de dados. Isso resulta em divulgação de informações e comprometimento potencial. O parâmetro vulnerável não é especificado. **Recomendações** Atualize para a versão 4.0.16 ou posterior.