Fatih Çelik

**Nome do Software Vulnerável e Versões Afetadas** TeX Live (versões afetadas não especificadas) GNOME Evince (versões afetadas não especificadas) **Description** O parser SyncTeX (synctex parser.c) contém um problema de heap use-after-free. Isso ocorre quando um arquivo .synctex ou .synctex.gz malformado constrói um nó de referência com um ponteiro de pai NULL. Isso faz com que a rotina de substituição falhe ao desanexar o nó de sua cadeia de irmãos, desencadeando a liberação recursiva de nós de árvore ativos e deixando ponteiros pendentes que o parser acessa durante o carregamento do documento. Isso pode resultar em falhas no aplicativo ou potencial execução de código arbitrário. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Gitleaks versões anteriores a 8.30.1 **Description** Existe um problema de injeção de template onde atacantes que podem fornecer ou influenciar templates de relatório podem ler variáveis de ambiente arbitrárias e exfiltrar dados sensíveis. Isso é alcançado através do uso de funções de template Sprig não herméticas, que são funções capazes de acessar ou modificar o ambiente externo. Especificamente, atacantes podem usar as funções `env()`, `expandenv()` e `getHostByName()` para extrair credenciais, tokens e chaves de API do processo hospedeiro e exfiltrá-los via consultas DNS, incluindo segredos identificados durante a varredura. **Recommendations** Atualize o Gitleaks para a versão 8.30.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Wireshark versões 4.4.0 a 4.4.12 Wireshark versões 4.6.0 a 4.6.2 **Descrição** Existe uma vulnerabilidade no dissector do protocolo SOME/IP-SD do Wireshark. Este problema pode levar a uma negação de serviço. **Recomendações** Atualize o Wireshark para uma versão posterior a 4.6.2. Atualize o Wireshark para uma versão posterior a 4.4.12.

Nome do Software Vulnerável e Versões Afetadas tracker-miners (versões afetadas não especificadas) Descrição Uma falha existe no tracker-miners relacionada à manipulação de arquivos MP3 malformados. Este problema poderia permitir que um atacante cause o travamento do tracker-miners, resultando em uma negação de serviço. Existe a possibilidade de execução de código arbitrário. O problema é um estouro de buffer no heap no extrator MP3 do GNOME localsearch. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Versões do Deark anteriores à 1.5.8 Descrição: Um arquivo de entrada especialmente criado pode causar uma divisão por zero no arquivo `src/fmtutil.c` devido ao valor de `pixelsize`. Recomendações: Para versões anteriores à 1.5.8, atualize para a versão 1.5.8 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Group Office CRM versão 6.4.196 Descrição: O problema diz respeito a uma vulnerabilidade de Cross Site Scripting (XSS). Está relacionado ao parâmetro `SET LANGUAGE`. Recomendações: Para o Group Office CRM versão 6.4.196, evite usar o parâmetro `SET LANGUAGE` até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas: Group Office versão 6.4.196 Descrição: Uma vulnerabilidade do tipo Server-Side Request Forgery (SSRF) permite que um invasor remoto falsifique solicitações GET para URLs arbitrárias por meio do parâmetro `url` no endpoint da API “group/api/upload.php”. Recomendações: Para o Group Office versão 6.4.196, como solução temporária, considere restringir o acesso ao endpoint da API “group/api/upload.php” até que uma correção esteja disponível. Evite usar o parâmetro `url` neste endpoint para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do Deark anteriores à 1.5.8 Descrição: O problema decorre de um arquivo de entrada especialmente criado que pode causar uma desreferência de ponteiro NULL na função `dbuf write`, localizada em `src/deark-dbuf.c`. Recomendações: Para versões anteriores à 1.5.8, atualize para a versão 1.5.8 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Oracle VM VirtualBox anteriores à 5.2.40 Versões do Oracle VM VirtualBox anteriores à 6.0.20 Versões do Oracle VM VirtualBox anteriores à 6.1.6 **Descrição** O problema está relacionado a um controle de acesso insuficiente no componente Core do Oracle VM VirtualBox, que pode ser explorado por um invasor com privilégios limitados que tenha acesso à infraestrutura onde o Oracle VM VirtualBox é executado. Ataques bem-sucedidos exigem a interação humana de uma pessoa que não seja o invasor e podem resultar em uma negação de serviço parcial (DOS parcial) do Oracle VM VirtualBox. **Recomendações** Para versões do Oracle VM VirtualBox anteriores à 5.2.40, atualize para a versão 5.2.40 ou posterior. Para versões do Oracle VM VirtualBox anteriores à 6.0.20, atualize para a versão 6.0.20 ou posterior. Para versões do Oracle VM VirtualBox anteriores à 6.1.6, atualize para a versão 6.1.6 ou posterior.