H3Nrrrych4U

**Nome do Software Vulnerável e Versões Afetadas** LLaMA-Factory versões anteriores a 0.9.6 **Description** A execução remota de código é possível através das interfaces de Chat e Treinamento da WebUI. A aplicação não valida os caminhos de modelos fornecidos pelo usuário antes de passá-los para as funções `AutoTokenizer.from pretrained()` e `AutoModel.from pretrained()`. Como o parâmetro `trust remote code` está configurado como `True`, a biblioteca Hugging Face transformers busca e executa código Python arbitrário de um repositório de modelos remoto ou local usando os privilégios do processo do servidor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** OWASP DefectDojo versões até 2.55.4 **Descrição** Um problema de segurança foi identificado no OWASP DefectDojo relacionado à negação de serviço. O problema reside na função `input zip.read` dentro do arquivo `parser.py` do componente `SonarQubeParser/MSDefenderParser`. Isso permite exploração remota, e o exploit foi divulgado publicamente. **Recomendações** Atualize para a versão 2.56.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fosrl Pangolin versões até 1.15.4-s.3 **Descrição** Uma falha existe no componente Role Handler do fosrl Pangolin. Especificamente, a função `verifyRoleAccess`/`verifyApiKeyRoleAccess` é suscetível a manipulação, resultando em controles de acesso inadequados. A exploração remota é possível e a exploração foi divulgada publicamente. **Recomendações** Atualize para a versão 1.15.4-s.4.