Ilyass-Armadin

**Nome do Software Vulnerável e Versões Afetadas** Cleo Harmony versões anteriores a 5.8.1.11 **Description** Um problema existe no componente de Autenticação SAML onde a manipulação do argumento `Email` dentro da função `LocalUserUtil.getNativeUserByAssertions()` permite a autenticação inadequada. Esta falha pode ser explorada remotamente. **Recommendations** Atualizar para a versão 5.8.1.11. Atualizar o componente de Autenticação SAML.

**Nome do Software Vulnerável e Versões Afetadas** Cleo Harmony versões 5.8.1.0 a 5.8.1.10 **Description** Existe um problema no manipulador de tokens de atualização JWT (JSON Web Token) no endpoint `/api/connections`. Um invasor remoto pode manipular o argumento `Bearer` nos cabeçalhos HTTP para ignorar os controles de autorização e causar um gerenciamento inadequado de privilégios, potencialmente elevando seus privilégios para níveis administrativos. Esta falha permite o acesso não autorizado a funcionalidades protegidas e sistemas externos integrados. A vulnerabilidade foi reproduzida por pesquisadores e um exploit está disponível publicamente. **Recommendations** Atualize o Cleo Harmony para a versão 5.8.1.11. Restrinja o acesso ao endpoint `/api/connections` a redes confiáveis para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** ERPNext versões anteriores a 15.104.3 ERPNext versões anteriores a 16.12.0 **Description** Uma restrição inadequada de referência a entidades externas XML (XXE) no Módulo EDI permite que um invasor autenticado leia arquivos do sistema de arquivos local, incluindo arquivos de configuração sensíveis. XXE é um tipo de ataque que ocorre quando um analisador XML processa incorretamente referências de entidades externas dentro de um documento XML. **Recommendations** Atualizar para a versão 15.104.3. Atualizar para a versão 16.12.0.

**Nome do Software Vulnerável e Versões Afetadas** Exiftool versões anteriores a 13.54 **Descrição** A injeção de código local é possível através da manipulação do argumento `-ee`. O problema reside na função `Process mrld()` dentro do arquivo `lib/Image/ExifTool/GM.pm`, afetando especificamente os componentes JPEG, QuickTime, MOV e MP4. **Recomendações** Atualizar para a versão 13.54.