H0Wl

**Nome do software vulnerável e versões afetadas** Versões do Fides anteriores à 2.50.0 **Descrição** O endpoint da API de aceitação de convite de usuário `/api/v1/user/accept-invite` não possui aplicação de políticas de senha no lado do servidor, permitindo que os usuários definam senhas arbitrariamente fracas ao contornar a validação no lado do cliente. Embora a interface do usuário imponha requisitos de complexidade de senha, chamadas diretas à API podem contornar essas verificações, permitindo a criação de contas com senhas de apenas um caractere. Essa vulnerabilidade permite que um usuário convidado defina uma senha extremamente fraca para sua própria conta durante o processo inicial de configuração, tornando-a facilmente comprometível por um invasor que adivinhe ou utilize um ataque de força bruta para descobrir a senha. **Recomendações** Para versões do Fides anteriores à 2.50.0, atualize para a versão 2.50.0 ou posterior para proteger o sistema contra essa ameaça. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API `/api/v1/user/accept-invite` até que o patch seja aplicado. Evite usar senhas fracas para novas contas de usuário até que o problema seja resolvido. Não há outras soluções alternativas conhecidas para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Fides versions prior to 2.23.3 **Description** The Fides web application is vulnerable to an HTML injection issue due to the lack of validation of input coming from connected systems and data stores. This can result in malicious JavaScript code execution or phishing attacks when a data subject user accesses an HTML page using the `file://` protocol. Exploitation is limited to rogue Admin UI users, malicious connected system or data store users, and the data subject user if tricked via social engineering into submitting malicious data themselves. **Recommendations** For versions prior to 2.23.3, upgrade to version 2.23.3 or later to secure the system against this threat. As a temporary workaround, consider configuring the storage destination to use `json` or `csv` instead of `html` as the package format to eliminate this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Fides versions prior to 2.22.1 **Description** The Fides webserver API allows users to retrieve its configuration using the `GET api/v1/config` endpoint. The configuration data is filtered to suppress most sensitive configuration information before it is returned to the user, but even the filtered data contains information about the internals and the backend infrastructure, such as various settings, servers’ addresses and ports and database username. This information is useful for administrative users as well as attackers, thus it should not be revealed to low-privileged users. This issue allows Admin UI users with roles lower than the owner role, e.g., the viewer role, to retrieve the config information using the API. **Recommendations** For Fides versions prior to 2.22.1, upgrade to version 2.22.1 or later to secure the system against this threat. As a temporary workaround, consider restricting access to the `GET api/v1/config` endpoint to minimize the risk of exploitation.