Hadhub

**Nome do Software Vulnerável e Versões Afetadas** Mercator versões anteriores a 2025.05.19 **Descrição** O Query Engine permite que usuários autenticados executem consultas por meio de uma JSON DSL (Domain Specific Language), que é uma linguagem especializada usada para definir consultas de dados. O método do controlador `QueryController::execute()` não possui um gate de autorização, permitindo que qualquer conta autenticada, incluindo aquelas com funções de Auditor apenas de leitura, consulte modelos fora de seu escopo pretendido, como o modelo `User`. Além disso, a coluna `password` não é excluída dos predicados de filtro, permitindo que seja usada em condições `LIKE`. Os endpoints '/admin/queries/execute', '/schema()' e '/schemaModel()' são afetados. Este problema é apenas de leitura e não impacta a integridade ou disponibilidade dos dados. **Recomendações** Atualize para a versão 2025.05.19. Como medida paliativa temporária, restrinja o acesso aos endpoints '/admin/queries/execute', '/schema()' e '/schemaModel()'.

**Nome do Software Vulnerável e Versões Afetadas** Mercator versões anteriores a 2025.05.19 **Descrição** Um Server-Side Request Forgery (SSRF) existe no painel de configuração de CVE no endpoint '/admin/config/parameters'. O método `testProvider()` no `ConfigurationController` passa a entrada fornecida pelo usuário para `curl init()` sem validar o esquema, o nome do host ou o endereço IP de destino. Um usuário autenticado com a permissão `configure` pode forçar o servidor a emitir requisições de rede externas arbitrárias. O sufixo '/api/dbInfo' anexado à URL pode ser ignorado injetando um caractere de fragmento `#`, permitindo controle total sobre a URL de destino. Não há lista branca de esquemas, de hosts ou bloqueio de IP privado/loopback. O esquema `telnet://` permite a varredura de portas internas, e o esquema `gopher://` possibilita a interação com serviços internos não autenticados, como Redis ou Memcached, o que pode levar à Execução Remota de Código (a capacidade de executar comandos arbitrários na máquina hospedeira) sob condições específicas de implantação. **Recomendações** Atualizar para a versão 2025.05.19.

**Name of the Vulnerable Software and Affected Versions** Mercator versions prior to 2026.02.22 **Description** Mercator is a web application for mapping information systems. A stored Cross-Site Scripting (XSS) issue exists because of the use of unescaped Blade directives (`{!! !!}`) in display templates. An authenticated user with the User role can inject JavaScript payloads into fields like "contact point" when creating or editing entities. This injected code executes in the browsers of users viewing the affected page, potentially including administrators. The vulnerable component uses unescaped Blade directives, which allow for the execution of arbitrary code within the application's context. **Recommendations** Update to version 2026.02.22 or later.