Jakub Brzozowski

**Nome do software vulnerável e versões afetadas** Dell Common Event Enabler versões 8.9.10.0 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de deserialização insegura no CAVATools. Um invasor local não autenticado poderia potencialmente explorar essa vulnerabilidade, levando à execução de código arbitrário no contexto do usuário conectado. A exploração requer que a vítima abra um arquivo malicioso. **Recomendações** Para as versões 8.9.10.0 e anteriores, atualize para uma versão que contenha uma correção para este problema, a fim de impedir a execução de código arbitrário. Como solução alternativa temporária, considere evitar o uso do CAVATools até que um patch esteja disponível. Restrinja o acesso a arquivos maliciosos para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Dell Repository Manager anteriores à 3.4.5 **Descrição** O problema diz respeito a uma vulnerabilidade de traversal de caminho no módulo da API. Um invasor local com privilégios limitados poderia potencialmente explorar essa vulnerabilidade para obter acesso de gravação não autorizado a arquivos no sistema de arquivos do servidor, utilizando os privilégios da aplicação web em execução. **Recomendações** Para versões anteriores à 3.4.5, atualize para a versão 3.4.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao módulo API para minimizar o risco de exploração.

Nome do software vulnerável e versões afetadas: SolarWinds Platform (versões afetadas não especificadas) Descrição: O problema está relacionado a uma vulnerabilidade de script entre sites armazenado (XSS) no console web da SolarWinds Platform. Essa vulnerabilidade pode ser explorada por um invasor remoto, permitindo-lhe realizar ataques de script entre sites. São necessários privilégios elevados e a interação do usuário para explorar essa vulnerabilidade. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Dell PowerProtect DD versions prior to 7.13.0.10 Dell PowerProtect DD version 6.2.1.110 Dell PowerProtect DD LTS versions prior to 7.7.5.25 Dell PowerProtect DD LTS versions prior to 7.10.1.15 **Description** The issue is related to an SQL Injection vulnerability. A remote low privileged attacker could potentially exploit this vulnerability, leading to the execution of certain SQL commands on the application's backend database, causing unauthorized read access to application data. This is due to a lack of protection of the SQL query structure. **Recommendations** For versions prior to 7.13.0.10, update to version 7.13.0.10 or later. For version 6.2.1.110, update to a version later than 6.2.1.110. For LTS versions prior to 7.7.5.25, update to version 7.7.5.25 or later. For LTS versions prior to 7.10.1.15, update to version 7.10.1.15 or later.

**Name of the Vulnerable Software and Affected Versions** Dell PowerProtect DD versions prior to 7.13.0.10 Dell PowerProtect DD LTS versions prior to 7.7.5.25 Dell PowerProtect DD LTS versions prior to 7.10.1.15 Dell PowerProtect DD version 6.2.1.110 **Description** The issue is related to an improper access control vulnerability. A local malicious user with low privileges could potentially exploit this vulnerability, leading to escalation of privilege. **Recommendations** For versions prior to 7.13.0.10, update to version 7.13.0.10 or later. For LTS versions prior to 7.7.5.25, update to version 7.7.5.25 or later. For LTS versions prior to 7.10.1.15, update to version 7.10.1.15 or later. For version 6.2.1.110, update to a version later than 6.2.1.110.

**Name of the Vulnerable Software and Affected Versions** Dell PowerProtect DD versions prior to 7.13.0.10 Dell PowerProtect DD LTS versions prior to 7.7.5.25 Dell PowerProtect DD LTS versions prior to 7.10.1.15 Dell PowerProtect DD version 6.2.1.110 **Description** The issue concerns an OS command injection vulnerability in the CLI of Dell PowerProtect DD. A local low-privileged attacker could potentially exploit this vulnerability, leading to the execution of arbitrary OS commands on the application's underlying OS, with the privileges of the vulnerable application. Exploitation may lead to a system takeover by an attacker. **Recommendations** For versions prior to 7.13.0.10, update to version 7.13.0.10 or later. For LTS versions prior to 7.7.5.25, update to version 7.7.5.25 or later. For LTS versions prior to 7.10.1.15, update to version 7.10.1.15 or later. For version 6.2.1.110, update to a version later than 6.2.1.110. As a temporary workaround, consider restricting access to the CLI to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Dell PowerProtect DD versions prior to 7.13.0.10 Dell PowerProtect DD LTS 7.7.5.25 Dell PowerProtect DD LTS 7.10.1.15 Dell PowerProtect DD version 6.2.1.110 **Description** A remote unauthenticated attacker could potentially exploit a DOM-based Cross-Site Scripting vulnerability, leading to the injection of malicious HTML or JavaScript code to a victim user's DOM environment in the browser. Exploitation may lead to information disclosure, session theft, or client-side request forgery. This vulnerability allows for full account takeover using the DataDomain REST API. **Recommendations** For versions prior to 7.13.0.10, update to version 7.13.0.10 or later. For LTS 7.7.5.25, update to a version later than 7.7.5.25. For LTS 7.10.1.15, update to a version later than 7.10.1.15. For version 6.2.1.110, update to a version later than 6.2.1.110. As a temporary workaround, consider restricting access to the DataDomain REST API until a patch is available.

**Name of the Vulnerable Software and Affected Versions** Cisco Smart Software Manager On-Prem (affected versions not specified) **Description** A vulnerability in the web-based management interface of Cisco Smart Software Manager On-Prem could allow an authenticated, remote attacker to conduct SQL injection attacks on an affected system. This issue exists because the web-based management interface inadequately validates user input. An attacker could exploit this vulnerability by authenticating to the application as a low-privileged user and sending crafted SQL queries to an affected system. A successful exploit could allow the attacker to read sensitive data on the underlying database. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Versões do OctoPrint anteriores à 1.6.0 **Descrição** O problema está relacionado a um controle de acesso incorreto no subsistema de registro (Logging), que tenta gerenciar arquivos que não são do tipo `*.log`. Isso pode potencialmente levar ao acesso não autorizado ou à manipulação de arquivos. **Recomendações** Para versões anteriores à 1.6.0, atualize para a versão 1.6.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao subsistema de Logging até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do OctoPrint anteriores à 1.6.0 **Descrição** A vulnerabilidade permite ataques XSS, pois as mensagens de erro da API incluem os valores dos parâmetros de entrada, como `username` ou outros dados fornecidos pelo usuário. Isso pode levar à execução de scripts maliciosos no lado do cliente. **Recomendações** Para versões anteriores à 1.6.0, atualize para a versão 1.6.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a pontos de extremidade da API que incluam parâmetros de entrada fornecidos pelo usuário nas mensagens de erro até que um patch esteja disponível.