Hrp

**Nome do software vulnerável e versões afetadas** Versões do localai <=2.20.1 **Descrição** O problema está relacionado a uma vulnerabilidade de Cross Site Scripting (XSS). Quando a API de exclusão de modelo é chamada com parâmetros inadequados, isso pode causar um XSS de armazenamento único. Isso acionará a carga maliciosa quando um usuário acessar a página inicial. A vulnerabilidade ocorre na API de exclusão de modelo quando parâmetros incorretos são utilizados. **Recomendações** Para versões do localai <=2.20.1, como solução temporária, considere restringir o acesso à API de exclusão de modelo até que um patch esteja disponível. Evite utilizar parâmetros inadequados na API de exclusão de modelo para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do langflow <=1.0.18 **Descrição** A vulnerabilidade permite a execução remota de código (RCE), pois qualquer componente que forneça funcionalidade de código é executado na máquina local, em vez de em uma sandbox. **Recomendações** Para versões <=1.0.18, atualize para uma versão superior a 1.0.18 para resolver o problema. Como solução alternativa temporária, considere restringir o uso de componentes que fornecem funcionalidade de código para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do PyTorch anteriores à 2.4.1 **Descrição** O problema diz respeito ao RemoteModule no PyTorch, que, segundo relatos, apresenta uma vulnerabilidade de execução remota de código (RCE) por deserialização. No entanto, observa-se que esse comportamento é intencional na computação distribuída do PyTorch e é contestado por várias partes. **Recomendações** Para versões anteriores à 2.4.1, considere restringir o uso do RemoteModule para minimizar o risco de exploração até que uma resolução ou orientação mais clara seja fornecida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** chainer versão 7.8.1.post1 **Descrição** Uma vulnerabilidade relacionada à deserialização de dados não confiáveis permite a execução de código arbitrário. **Recomendações** Para a versão 7.8.1.post1, atualize para uma versão que corrija a vulnerabilidade de deserialização de dados não confiáveis para impedir a execução de código arbitrário.

Nome do software vulnerável e versões afetadas: H2O.ai H2O versões 3.46.0.4 e anteriores Descrição: A vulnerabilidade permite que invasores definam arbitrariamente a URL JDBC, levando a ataques de desserialização, leitura de arquivos e execução de comandos. A exploração pode ocorrer quando um invasor tem acesso para enviar dados para a URI “ImportSQLTable” com um documento JSON contendo uma propriedade `connection url` com qualquer carga de ataque típica de URL de conexão JDBC. Recomendações: Para as versões 3.46.0.4 e anteriores, atualize para uma versão corrigida para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à URI ImportSQLTable para minimizar o risco de exploração. Evite usar a propriedade `connection url` nos documentos JSON afetados até que o problema seja resolvido.