Ivan Iushkevich

**Nome do Software Vulnerável e Versões Afetadas** Apache Roller versão 6.1.5 **Description** Existe uma falha de bypass de autorização que permite que um usuário autenticado com direitos de autoria em um weblog leia, modifique ou exclua recursos pertencentes a outro weblog. Isso ocorre por meio de buscas baseadas em identificadores não delimitados em instalações multiusuário onde os usuários deveriam estar isolados. Além disso, um usuário com direitos de administrador em seu próprio weblog pode sobrescrever o template Velocity de outro weblog, cujo conteúdo é avaliado quando o weblog vítima é renderizado. Velocity é um mecanismo de template baseado em Java usado para gerar conteúdo dinâmico. **Recommendations** Atualize o Apache Roller para a versão 6.1.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Apache Roller versão 6.1.5 **Description** Um usuário autenticado pode ler, modificar ou excluir conteúdo de weblogs pertencentes a outros weblogs. Isso ocorre porque os manipuladores das APIs legadas XML-RPC Blogger e MetaWeblog autenticam o chamador, mas não verificam se o chamador possui as permissões necessárias para o weblog ou entrada específica que está sendo acessada. Este problema afeta apenas instalações onde a configuração global de XML-RPC, que não é a padrão, está habilitada. **Recommendations** Atualize para o Apache Roller versão 6.1.6 ou posterior. Desative o recurso XML-RPC.

**Nome do Software Vulnerável e Versões Afetadas** Apache Roller versão 6.1.5 **Description** A neutralização inadequada de entrada permite que um invasor remoto anônimo armazene uma URL de autor de comentário manipulada. Isso pode levar à execução de scripts na sessão de um moderador de weblog ou administrador global quando a página de gerenciamento de comentários é visualizada. Este problema afeta sites que permitem comentários em pelo menos um weblog e onde um moderador revisa o comentário enviado, não exigindo nenhuma configuração de servidor não padrão. **Recommendations** Atualize o Apache Roller para a versão 6.1.6 ou posterior.