Fewword

**Nome do Software Vulnerável e Versões Afetadas** Hi.Events versões anteriores a 1.11.1-beta **Description** Existe um problema onde os destinos de webhook são validados apenas durante o registro e não durante o uso. A função `NoInternalUrlRule` em `backend/app/Validators/Rules/NoInternalUrlRule.php` utiliza `gethostbyname()` para rejeitar intervalos de IP privados e reservados, mas nomes de host públicos são permitidos. Durante o despacho, o `WebhookDispatchService` utiliza a URL armazenada via `spatie/laravel-webhook-server` sem revalidar o destino. Como o arquivo `backend/config/webhook-server.php` não configura as opções do Guzzle, o seguimento de redirecionamentos permanece ativado por padrão. Isso permite que um destino redirecione o servidor para um endereço de loopback, privado ou de metadados de nuvem, ou permite que um invasor altere um registro de DNS após o registro para alcançar o mesmo resultado. O `WebhookResponseHandlerService` armazena o corpo da resposta no log do webhook, que é então exposto através do endpoint `WebhookLogResource`, permitindo que o solicitante leia respostas de serviços internos. Isso afeta tanto os webhooks de eventos quanto os de organizadores. **Recommendations** Atualize o Hi.Events para a versão 1.11.1-beta.

Nome do Software Vulnerável e Versões Afetadas: Versões do LibreNMS anteriores à 25.5.0 Descrição: O problema é uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado que afeta o parâmetro `group name` do formulário "http://localhost/poller/groups". Isso permite que atacantes injetem scripts maliciosos em páginas web visualizadas por outros usuários. Recomendações: Para versões anteriores à 25.5.0, atualize para a versão 25.5.0 ou posterior para resolver o problema. Como medida de contorno temporária, considere restringir o acesso ao formulário "http://localhost/poller/groups" até que a atualização seja aplicada. Evite usar o parâmetro `group name` no formulário afetado até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Kanboard de 1.2.26 a 1.2.44 **Descrição** O problema consiste em uma vulnerabilidade de Cross-Site Scripting (XSS) Persistente no parâmetro `name` do formulário "http://localhost/?controller=ProjectCreationController&action=create". Isso permite que atacantes injetem scripts maliciosos em páginas web visualizadas por outros usuários. A Política de Segurança de Conteúdo (CSP) padrão bloqueia o ataque JavaScript, mas este pode ser explorado se uma instância estiver mal configurada e o software estiver vulnerável à injeção de CSS devido à diretiva `unsafe-inline` na CSP padrão. **Recomendações** Para as versões de 1.2.26 a 1.2.44, atualize para a versão 1.2.45 ou posterior para corrigir o problema. Como solução temporária, considere restringir o acesso ao formulário `http://localhost/?controller=ProjectCreationController&action=create` até que a atualização seja aplicada. Além disso, revise e ajuste a Política de Segurança de Conteúdo (CSP) para prevenir injeção de CSS, removendo a diretiva `unsafe-inline` se possível.