Erik-Krogh

The SQL parser contains a regular expression that is vulnerable to ReDoS (Regular Expression Denial of Service). This issue may lead to Denial of Service (DoS). The vulnerability was introduced by commit `e75e358` and has been fixed in sqlparse 0.4.4 by commit `c457abd5f`.

The issue arises when handling untrusted modal titles, allowing an attacker to influence the `title` field and supply arbitrary `html` or `javascript` code. This code will be rendered in the context of a user, potentially leading to cross-site scripting (XSS).

The issue is related to cross-site scripting (XSS) when handling untrusted `placeholder` entries. An attacker who can influence the `placeholder` field when creating a `Calendar` instance can supply arbitrary `html` or `javascript` that will be rendered in the context of a user, leading to XSS.

Cockpit is a content management system that allows addition of content management functionality to any site. In the affected versions, bad HTML sanitization in `htmleditor.js` may lead to cross-site scripting (XSS) issues.

The issue concerns a copy-paste cross-site scripting (XSS) flaw. This type of XSS requires the victim to be tricked into copying a malicious payload into the text editor.

Vditor is a browser-side Markdown editor. The issue at hand is a copy-paste cross-site scripting (XSS) problem. For this particular type of XSS, the victim needs to be fooled into copying a malicious payload into the text editor.

The issue is related to copy-paste cross-site scripting (XSS) in textAngular, a text editor for Angular.js. For this particular type of XSS, the victim needs to be fooled into copying a malicious payload into the text editor.

The issue is related to cross-site scripting when handling untrusted color names. This can be exploited due to the lack of proper input validation in jQuery MiniColors.

The issue is related to cross-site scripting when handling untrusted menus in Mind-elixir, a free, open source mind map core.

O problema diz respeito a uma vulnerabilidade de injeção de código por meio de entradas coladas no Editor.js, um editor de blocos. O método `processHTML` está vulnerável, pois passa as entradas coladas para o `innerHTML` do wrapper. Isso permite possíveis ataques de injeção de código.

O Jodit Editor é um editor WYSIWYG escrito em TypeScript puro, sem o uso de bibliotecas adicionais. Ele é vulnerável a ataques XSS ao colar entradas especialmente criadas. Esta falha ainda não foi totalmente corrigida. Não há soluções alternativas conhecidas.

O problema diz respeito a ataques de cross-site scripting que podem ocorrer ao colar conteúdo especialmente criado em células editáveis. Isso pode ser explorado por invasores para executar scripts maliciosos.

O problema está relacionado ao tratamento incorreto de expressões regulares no método url2 do jQuery Validation Plugin, o que pode levar a uma negação de serviço quando um invasor fornece uma entrada arbitrária. Isso se deve a uma correção incompleta de um problema anterior. O número estimado de dispositivos potencialmente afetados não foi especificado. Não há informações sobre incidentes reais em que esse problema tenha sido explorado. Os detalhes técnicos sobre a exploração incluem o método `url2`, que é vulnerável a ataques de negação de serviço por expressão regular (ReDoS) quando um invasor consegue fornecer entradas arbitrárias.

The mechanize library, used for automatically interacting with HTTP web servers, contains a regular expression vulnerable to regular expression denial of service (ReDoS). If a web server responds maliciously, mechanize could crash.

**Nome do software vulnerável e versões afetadas: @joeattardi/emoji-button versões anteriores à 4.6.2 Descrição: O problema diz respeito a dois vetores para ataques XSS: uma URL para um emoji personalizado e uma string i18n. Em ambos os casos, um valor malicioso pode inserir uma tag `script` na página e executar código malicioso. Recomendações: Para versões anteriores à 4.6.2, atualize para a versão 4.6.2 ou posterior, que escapa adequadamente as strings inseridas no documento HTML para resolver o problema.

O Zulip é um servidor de chat em equipe de código aberto que permite aos administradores da organização configurar “linkifiers”, os quais criam automaticamente links a partir de mensagens enviadas pelos usuários, detectadas por meio de expressões regulares arbitrárias. Administradores mal-intencionados da organização poderiam sujeitar o servidor a um ataque de negação de serviço (DoS) por meio de ataques de complexidade de expressões regulares, configurando uma expressão regular de tempo quadrático em um linkifier e enviando mensagens que a explorassem. A expressão regular tentava analisar as expressões regulares fornecidas pelo usuário para verificar se estavam a salvo de ReDoS, mas isso era insuficiente e, por si só, sujeito a ReDoS se o administrador da organização inserisse uma expressão regular inválida suficientemente complexa.

A vulnerabilidade permite ataques de script entre sites (XSS) por meio do conteúdo da área de transferência. Se um usuário for induzido a copiar conteúdo malicioso e colá-lo no editor HTML, parte do conteúdo da área de transferência é gravada diretamente no `innerHTML`, causando um ataque XSS. Isso permite a injeção de JavaScript.

**Nome do software vulnerável e versões afetadas: versões do ssh2 anteriores à 1.4.0 Descrição: O problema é uma vulnerabilidade de injeção de comando que pode levar à execução remota de código se um cliente da biblioteca chamar o método vulnerável com entradas não confiáveis. Este problema ocorre apenas no Windows. Recomendações: Para versões anteriores à 1.4.0, atualize para a versão 1.4.0 para resolver o problema. Como solução alternativa temporária, considere validar e sanitizar qualquer entrada não confiável antes de chamar o método vulnerável para minimizar o risco de exploração.

O problema está relacionado a uma vulnerabilidade de negação de serviço (DoS) em expressões regulares no módulo sqlparse para Python. A expressão regular pode causar um backtracking exponencial em strings que contenham muitas repetições de `r ` em comentários SQL. Isso afeta o recurso de formatação que remove comentários de instruções SQL.

O problema ocorre quando a função `utils.set` é chamada com valores controlados pelo usuário, levando à injeção de código. Isso pode resultar na execução de código arbitrário. A estrutura Total.js é uma plataforma Node.js escrita em JavaScript puro, semelhante ao Laravel do PHP ou ao Django do Python.