Ibrahimmrpl

**Nome do Software Vulnerável e Versões Afetadas** Plane versões anteriores a 1.4.0 **Description** Existe um problema onde o endpoint "/api/v1/workspaces/{slug}/projects/{project id}/members/" retorna a lista completa de membros do projeto, incluindo endereços de e-mail, nomes, avatares e funções. A verificação `ProjectMemberPermission` apenas valida se o chamador é um membro ativo de qualquer projeto dentro do workspace, falhando em vincular a verificação ao `project id` específico. Consequentemente, qualquer usuário autenticado, incluindo aqueles com funções de Convidado (Guest), pode acessar a lista de membros de outros projetos privados no mesmo workspace ao manipular a variável `project id` na URL. **Recommendations** Atualizar para a versão 1.4.0.

**Nome do Software Vulnerável e Versões Afetadas** Zitadel versões anteriores a 4.16.2 **Description** Existe um problema onde o servidor pode ser coagido a fazer requisições a recursos internos durante a verificação HTTP do domínio da organização. Isso ocorre porque o processo de busca de desafio utiliza a função `http.Get` padrão do Go em vez de um cliente protegido. Atacantes podem registrar domínios que redirecionam para endereços de loopback, internos ou de metadados de nuvem, permitindo a varredura de portas e o mapeamento de redes internas. Trata-se de um server-side request forgery (SSRF), que é uma falha que permite a um atacante induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. **Recommendations** Atualize para a versão 4.16.2 ou posterior.