Iaohkut-From-Nightwolf-Team

Renovate before 44.14.7 contains a command injection vulnerability in the Maven Wrapper manager that allows attackers to execute arbitrary commands by specifying a malicious distributionType parameter in maven-wrapper.properties. Attackers can inject shell commands through unescaped distributionType values to achieve remote code execution when Renovate processes Maven Wrapper updates in binarySource=docker mode.

Renovate before 44.14.7 contains a command injection vulnerability in the Mix manager when processing private dependencies with unescaped organization parameters. Attackers can inject shell metacharacters through malicious package names to execute arbitrary commands as the Renovate user in binarySource=docker mode.

Renovate is a dependency update automation tool. In versions before 44.14.7 (and in Mend Renovate CE/EE distributions before 15.4.0, and the mend-renovate-enterprise-edition Helm chart before 10.4.0), the manager/gradle-wrapper module does not escape the distributionUrl value read from a repository's gradle/wrapper/gradle-wrapper.properties file before invoking the Gradle Wrapper CLI. In self-hosted deployments configured with binarySource=docker and allowedUnsafeExecutions=['gradleWrapper', ...], a repository that supplies a crafted distributionUrl (for example, appending a shell metacharacter and command) can cause arbitrary commands to be executed as the Renovate user when Renovate processes a Gradle Wrapper update. The issue is fixed in Renovate 44.14.7; as a workaround, remove 'gradleWrapper' from allowedUnsafeExecutions.

Renovate before 44.14.7 contains a command injection vulnerability in the gomod manager when processing unescaped depName parameters in import-path update commands with binarySource=docker mode. Attackers can inject shell metacharacters through malicious dependency names to execute arbitrary commands as the Renovate user during Go module major version updates with postUpdateOptions gomodUpdateImportPaths enabled.

**Nome do Software Vulnerável e Versões Afetadas** morgan versões anteriores a 1.12.0 **Description** Existe um problema no auxiliar interno utilizado para escapar valores de tokens de log. O software não neutraliza os caracteres de separação de linha Unicode U+0085 (Next Line), U+2028 (Line Separator) e U+2029 (Paragraph Separator). Um cliente remoto não autenticado pode injetar esses caracteres em um token de log controlado pelo invasor, como um nome de usuário de autenticação Basic processado através do token `remote-user`. Isso permite a falsificação de logs (log forging), onde sistemas de processamento de logs subsequentes compatíveis com Unicode dividem um único log de requisição em múltiplos registros lógicos. **Recommendations** Atualize para a versão 1.12.0.

**Nome do Software Vulnerável e Versões Afetadas** Faktory versões anteriores a 1.10.0 **Description** O bootstrapper do Redis incorporado contém uma falha de arquivo temporário inseguro. O sistema grava a configuração de inicialização em um caminho fixo, previsível e gravável por qualquer usuário em `/tmp/redis.conf`, criando o arquivo apenas se ele ainda não existir e não o validando em inicializações posteriores. Um usuário local sem privilégios pode pré-criar este arquivo com diretivas maliciosas do Redis. Embora o Faktory substitua as opções `unixsocket`, `dir` e `logfile`, outras diretivas como `bind`, `protected-mode`, `requirepass` e `loadmodule` permanecem sob controle do invasor. Isso permite que um invasor exponha a fila de trabalhos através de uma porta de rede não autenticada ou use a diretiva `loadmodule` para executar código nativo arbitrário no processo do Redis pertencente ao root, resultando em escalada de privilégios de um usuário local sem privilégios para root. **Recommendations** Atualizar para a versão 1.10.0.

**Nome do Software Vulnerável e Versões Afetadas** Faktory versões anteriores a 1.10.0 **Description** Existe uma negação de serviço não autenticada na qual um único comando malformado pode travar todo o processo. O servidor utiliza um protocolo de rede baseado em linhas onde vários manipuladores de comando realizam fatiamento ou indexação em linhas recebidas em deslocamentos fixos sem verificar a presença de uma carga útil. O envio de um verbo simples sem carga útil—como PUSH, ACK, FAIL, BEAT, PUSHB ou QUEUE—desencadeia um pânico de índice ou fatia fora de intervalo do Go. Como o caminho de despacho de comandos não possui a função `recover()`, um pânico não recuperado em uma goroutine de manipulador encerra todo o processo Go, desconectando todos os clientes, trabalhadores e tarefas em execução. O ataque requer apenas uma conexão com a porta de comando e a conclusão do handshake, não exigindo credenciais caso nenhuma senha esteja configurada. **Recommendations** Atualizar para a versão 1.10.0.

**Nome do Software Vulnerável e Versões Afetadas** @better-auth/sso versões anteriores a 1.4.8 @better-auth/sso versões anteriores a 1.6.27 @better-auth/sso versões anteriores a 1.7.0-rc.5 **Description** Existem duas falhas de propriedade de domínio quando o plugin SSO está ativo. Se a verificação de domínio estiver desativada, a atribuição automática de organização aceita domínios de provedores não verificados. Isso permite que um proprietário ou administrador de organização autenticado registre um provedor SSO para qualquer domínio, fazendo com que usuários com domínios de e-mail correspondentes sejam adicionados à organização do invasor com permissões de membro padrão. Se a verificação de domínio estiver ativada, ocorre uma condição de corrida (race condition) entre os endpoints 'verify-domain' e 'update-provider', que pode aplicar uma prova de DNS concluída a um domínio incorreto. Quando combinado com a vinculação implícita de conta, isso permite que um provedor de identidade controlado por um invasor seja vinculado a uma conta de usuário existente. O plugin de organização também deve estar habilitado para que o caminho de atribuição de organização seja explorado. **Recommendations** Atualize o @better-auth/sso para a versão 1.4.8 ou posterior para a linha 1.4.x. Atualize o @better-auth/sso para a versão 1.6.27 ou posterior. Atualize o @better-auth/sso para a versão 1.7.0-rc.5 ou posterior para a linha de pré-lançamento 1.7.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin versões anteriores a 1.0.14 **Descrição** Uma fraqueza de redirecionamento aberto existe na função `SsoController::sanitizeReturnTo()`. A função não considera que os navegadores normalizam barras invertidas para barras em esquemas http ou https. Consequentemente, um valor `returnTo` contendo uma barra invertida, como `/evil.com`, pode ignorar a proteção de segurança e ser interpretado pelo navegador como uma URL relativa ao protocolo. Isso permite que um invasor utilize o parâmetro `returnTo` durante um fluxo de login OAuth legítimo para redirecionar um usuário autenticado para um site malicioso para fins de phishing. **Recomendações** Atualize o Grav API plugin para a versão 1.0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin versões anteriores a 1.0.15 **Descrição** Existe uma falha de bypass de autorização na função `BlueprintPathResolver::resolveUserScope()`. O sistema verifica a flag ACL de super-administrador da conta `access.api.super` em vez de validar o escopo real da chave de API fornecida. Um invasor com uma chave de API com escopo limitado a `api.media.write` criada a partir de uma conta de super-administrador pode ignorar a autorização. Isso permite que o invasor utilize os endpoints 'POST /blueprint-upload' ou 'GET /blueprint-files' para gravar arquivos no escopo de outro usuário dentro do diretório compartilhado `user/accounts/` (limitado a extensões de imagem por `assertSafeExtension()`) e navegar pela listagem de arquivos desse escopo, mesmo sem a permissão `api.users.write`. **Recomendações** Atualize o Grav API plugin para a versão 1.0.15.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin versões anteriores a 1.0.14 **Descrição** O plugin Grav API falha ao aplicar os requisitos de autorização na função `MenubarController::executeAction()`. Enquanto o endpoint 'GET /menubar/items' filtra corretamente os itens, o endpoint 'POST /api/v1/menubar/actions/{plugin}/{action}' verifica apenas a permissão básica `api.access` e ignora o campo `authorize` registrado por um plugin para aquela ação. Consequentemente, qualquer usuário autenticado com `api.access` pode executar ações privilegiadas do menubar, ignorando a autorização pretendida. Este problema afeta plugins de terceiros ou primários que dependem da semântica de autorização documentada. **Recomendações** Atualize para a versão 1.0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav API plugin (getgrav/grav-plugin-api) versões anteriores a 1.0.14 **Descrição** Existe um problema na função `userPassesAuthorize()` dentro de `AbstractApiController.php` onde o sistema falha ao verificar os escopos da chave de API da requisição solicitante. Em vez disso, ele confia na flag de super-administrador bruta da conta e nas concessões de Lista de Controle de Acesso (ACL). Isso permite que um invasor autenticado, utilizando uma chave de API com escopo de uma conta privilegiada, ignore as restrições de escopo declaradas para acessar metadados de interface do usuário e definições de itens protegidos, como itens de barra lateral, menu e widgets, além de colunas de lista de usuários, ações de linha e abas de filtro, resultando na divulgação de informações. **Recomendações** Atualize o Grav API plugin (getgrav/grav-plugin-api) para a versão 1.0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões anteriores a 2.0.14 **Description** Um problema de cross-site scripting (XSS) armazenado existe na função `Security::detectXss()` localizada em system/src/Grav/Common/Security.php. Os padrões de detecção de XSS utilizam o modificador PCRE /u (UTF-8), o que faz com que o `preg match()` retorne falso para todos os padrões se um único byte UTF-8 inválido estiver presente no conteúdo da página. Esse comportamento permite que a barreira de segurança de XSS no momento do salvamento `Validation::checkSafety()` seja ignorada. Um invasor autenticado com permissões de edição de página, que não possua o privilégio `security.xss whitelist`, pode armazenar JavaScript malicioso que será executado no navegador de qualquer visitante que visualize a página afetada. **Recommendations** Atualize para a versão 2.0.14 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** @fastify/multipart versões 5.3.0 até 10.1.0 **Descrição** Existe um problema no analisador de multipart form-data onde o plugin limpa sua referência interna de arquivo atual enquanto o stream subjacente permanece aberto quando o limite de `fileSize` do busboy trunca uma parte do arquivo. Se um cliente não autenticado abortar a conexão antes de enviar o limite terminador, a limpeza do aborto não encontra o stream para destruir. Consequentemente, a função `saveRequestFiles()` nunca é finalizada, fazendo com que o manipulador de requisição trave e impedindo a limpeza de arquivos temporários gravados no disco. A exploração repetida pode levar à exaustão do disco e do event-loop. **Recomendações** Atualizar para a versão 10.1.1.

**Nome do Software Vulnerável e Versões Afetadas** rclone versões anteriores a 1.74.4 **Description** O software falha ao remover o cabeçalho `X-Amz-Security-Token` quando um redirecionamento S3 altera o esquema de HTTPS para HTTP no mesmo host. Isso permite que atacantes interceptem o tráfego HTTP em texto simples e capturem tokens de sessão do AWS Security Token Service (STS) enviados nos cabeçalhos de requisição. **Recommendations** Atualize o rclone para a versão 1.74.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** SvelteKit versões anteriores a 2.69.1 **Descrição** Funções de formulários remotos com campos de entrada de arquivo que aceitam nomes de caminho controlados pelo usuário são suscetíveis a poluição de protótipo (prototype pollution). Isso ocorre quando um invasor manipula o caminho de exclusão para remover métodos no protótipo, o que pode levar à desativação de funcionalidades da aplicação. Poluição de protótipo é uma técnica onde um invasor modifica o protótipo base de um objeto, afetando todos os objetos derivados dele. **Recomendações** Atualize para a versão 2.69.1 ou posterior.