Erik Villegas

**Nome do Software Vulnerável e Versões Afetadas** Apache Airflow versão 3.3.0 **Description** No estado de tarefa `awaiting input`, o scheduler desserializa a variável `next kwargs` de uma instância de tarefa sem utilizar uma lista de permissões (allow-list). Um autor de DAG pode manipular esse valor através da API de execução de tarefas para disparar a importação de módulos arbitrários e a instanciação de objetos dentro do processo do scheduler, ou causar a terminação do job do scheduler. Esse processo ocorre automaticamente a cada 15 segundos e não é mitigado pela configuração padrão `allowed deserialization classes`. **Recommendations** Atualize para a versão 3.3.1 ou posterior do apache-airflow.

**Nome do Software Vulnerável e Versões Afetadas** Intermark IT WebControl CMS versão 3.5 **Description** Um problema de injeção de HTML existe no formulário de contato, permitindo que um invasor envie e-mails contendo código HTML malicioso para uma vítima. Isso é feito enviando uma requisição para o endpoint '/processContact.do' utilizando os parâmetros `nombreApellidos`, `dirección` e `comentarios`. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint '/processContact.do' ou evite o uso dos parâmetros `nombreApellidos`, `dirección` e `comentarios` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WebControl CMS versão 3.5 **Description** Existe um problema que permite a um invasor executar código JavaScript ou injetar um iframe dinâmico no navegador de uma vítima. Isso é feito enviando uma URL maliciosa através do parâmetro `urlDestino` no endpoint '/portal.do'. Esta falha pode ser utilizada para roubar dados sensíveis do usuário, como cookies de sessão, exibir interfaces de phishing ou realizar ações em nome do usuário. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `urlDestino` no endpoint '/portal.do' até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Youzify - Buddypress Moderation, versões 1.2.5 e anteriores **Descrição** O problema está relacionado a uma neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como “Cross-site Scripting”. Isso permite um ataque remoto. **Recomendações** Atualize o plugin para uma versão posterior à 1.2.5. Como solução temporária, considere restringir o acesso ao plugin até que um patch esteja disponível.