Jan Cizmar

**Nome do software vulnerável e versões afetadas** Tolgee versão 3.81.1 **Descrição** O Tolgee é uma plataforma de localização de código aberto. O problema diz respeito à exposição pública de todas as propriedades de configuração no `PublicConfigurationDTO` aos usuários. **Recomendações** Para a versão 3.81.1 do Tolgee, atualize para a versão 3.81.2 para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Tolgee anteriores à 3.57.2 **Descrição** O Tolgee é uma plataforma de localização de código aberto. O problema diz respeito aos endpoints `/v2/projects/translations` e `/v2/projects/{projectId}/translations`, nos quais os dados de tradução eram retornados mesmo quando a chave da API não possuía o escopo `translation.view`. No entanto, era impossível obter os dados quando o usuário não possuía esse escopo. Isso é relevante apenas para chaves de API geradas por usuários com permissão para `translation.view`. **Recomendações** Para versões anteriores à 3.57.2, atualize para a versão 3.57.2 para resolver o problema. Como solução temporária, considere restringir o acesso aos endpoints `/v2/projects/translations` e `/v2/projects/{projectId}/translations` para chaves de API sem o escopo `translation.view`.

**Nome do software vulnerável e versões afetadas** Versões 3.57.2 a 3.57.3 do Tolgee **Descrição** O Tolgee é uma plataforma de localização de código aberto. Quando uma chave de API criada por um usuário administrador é utilizada, ela ignora completamente a verificação de permissão. **Recomendações** Para as versões 3.57.2 a 3.57.3 do Tolgee, atualize para a versão 3.57.4 para resolver o problema. Como solução temporária, considere restringir o uso de chaves de API criadas por usuários administradores até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** Tolgee versions 3.14.0 through 3.23.1 **Description** Tolgee is an open-source localization platform. When a request is made using an API key, the backend fails to verify the permission scopes associated with the key, effectively bypassing permission checks entirely for some endpoints. This issue only affects projects that have inadvertently exposed their API keys on the internet. Projects that have kept their API keys secure are not impacted. **Recommendations** For versions 3.14.0 through 3.23.1, update to version 3.23.1 to resolve the issue. As a temporary workaround, consider restricting access to API endpoints that use API keys until the update is applied. Additionally, ensure that API keys are kept secure and not exposed on the internet to minimize the risk of exploitation.