Eldor Nabijonov

**Nome do Software Vulnerável e Versões Afetadas** Plainpad versões anteriores a 1.1.1 **Description** Existe um problema onde atacantes não autenticados podem enviar solicitações de login ilimitadas para o endpoint 'POST /v1/sessions'. Isso ocorre porque um código morto em `AppHttpKernel.php` não é instanciado sob o esqueleto do Laravel 11+, deixando a configuração de limite da API desvinculada de qualquer rota. Isso permite tentativas ilimitadas de credenciais sem a aplicação de bloqueio ou CAPTCHA e pode causar exaustão de CPU ao forçar comparações repetidas de bcrypt em cada solicitação. **Recommendations** Atualize o Plainpad para a versão que contém o commit d3823fc.

**Nome do Software Vulnerável e Versões Afetadas** Grafana versões anteriores a 13.2.1 **Description** Uma falha de bypass de autorização permite que um usuário com a função de Editor exclua pontos de contato (receivers) protegidos sem possuir a permissão `alert.notifications.receivers.protected:write` necessária. Isso ocorre porque o caminho de DELETE nos serviços `pkg/services/ngalert/provisioning/contactpoints.go` e `pkg/services/ngalert/notifier/receiver svc.go` não possui a verificação de campo protegido exigida. **Recommendations** Atualize o Grafana para a versão 13.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** changedetection.io (versões afetadas não especificadas) **Description** Os recursos da REST API são protegidos por um decorador `@auth.check token` que valida o cabeçalho `x-api-key`. No entanto, o recurso Spec registrado no endpoint '/api/v1/full-spec' não possui os decoradores `@auth.check token` nem `@validate openapi request` em seu método `get()`. Isso permite que um cliente não autenticado recupere o esquema OpenAPI mesclado completo, incluindo todos os caminhos de endpoint, parâmetros e plugins de processador registrados, mesmo quando o controle de acesso à API está habilitado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** changedetection.io (versões afetadas não especificadas) **Descrição** O manipulador de salvamento do endpoint `/settings` cria um dicionário de atualização a partir de `form.data['application']` e o mescla nas configurações armazenadas do aplicativo via método `.update()`. Como o WTForms representa caixas de seleção desmarcadas como `False` em vez de inalteradas, e apenas o campo `password` é tratado especificamente contra esse problema, uma requisição POST para `/settings` que omita a variável `api access token enabled` desativa silenciosamente a imposição de chaves de API. Isso expõe a lista de monitoramento completa, o histórico e a configuração da REST API a requisições não autenticadas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** changedetection.io (versões afetadas não especificadas) **Description** O endpoint '/login' não implementa limitação de taxa (rate limiting) por IP ou por sessão, contadores de tentativas falhas ou bloqueios de conta ao verificar senhas contra um hash PBKDF2-HMAC-SHA256. Como a aplicação utiliza uma única senha compartilhada em vez de contas de usuário individuais, um ataque de força bruta bem-sucedido permite que um invasor obtenha acesso administrativo total, incluindo a capacidade de visualizar ou regenerar o token da API. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Shiori (versões afetadas não especificadas) **Descrição** A função `CheckToken()` em `internal/domains/auth.go` valida apenas a assinatura HMAC do JSON Web Token (JWT) e retorna o objeto `Account` incorporado sem buscar novamente os dados da conta no banco de dados. Como o sistema carece de um armazenamento de sessão ou mecanismo de revogação de tokens, alterações em uma conta — como a exclusão ou a rebaixamento de proprietário para uma função regular — não afetam os tokens existentes. Consequentemente, um token emitido para um proprietário excluído ou rebaixado permanece válido e mantém os privilégios originais de nível de proprietário até expirar, o que pode levar até 30 dias se a opção remember me estiver ativada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.