Je-Lv

**Nome do Software Vulnerável e Versões Afetadas** filebrowser versões anteriores a 2.63.17 **Descrição** Existe um problema quando o auto-cadastro está habilitado com a configuração padrão `CreateUserDir`. Atacantes não autenticados podem registrar contas que herdam o escopo da raiz do servidor, concedendo-lhes permissões totais para criar, modificar, excluir, renomear, compartilhar e baixar todos os arquivos no servidor. **Recomendações** Atualize para uma versão posterior à 2.63.16. Desative o recurso de auto-cadastro ou modifique a configuração `CreateUserDir` para restringir o escopo do usuário.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões 5.0.0-RC1 até 5.10.5 Craft CMS versões 4.0.0-RC1 até 4.18.1 **Description** Um problema de leitura arbitrária de arquivos existe onde a função Twig `create()` não inclui o SplFileObject em sua lista de bloqueio de instanciação de classes. Isso permite que um administrador autenticado com `allowAdminChanges=true` configure um título de tipo de entrada ou formato de URI malicioso que instancie o SplFileObject em um contexto de template não isolado (non-sandboxed). Consequentemente, quando um usuário cria uma entrada na seção afetada, arquivos sensíveis do servidor, como o arquivo `.env` contendo chaves de segurança e credenciais de banco de dados, podem ser lidos e renderizados como títulos de entrada. **Recommendations** Atualizar as versões do Craft CMS 5.0.0-RC1 até 5.10.5 para a versão 5.10.6. Atualizar as versões do Craft CMS 4.0.0-RC1 até 4.18.1 para a versão 4.18.2.

**Nome do Software Vulnerável e Versões Afetadas** Craft CMS versões anteriores a 5.10.8 **Description** Um problema de cross-site scripting armazenado existe no painel de controle, onde os nomes dos rascunhos são renderizados sem codificação HTML em chips e cartões de elementos. Isso permite que um usuário de baixo privilégio com a capacidade de criar rascunhos de elementos injete JavaScript malicioso. O script é executado no navegador de qualquer usuário com privilégios mais altos que visualize o elemento afetado, permitindo potencialmente a criação de contas não autorizadas e outras ações autenticadas. **Recommendations** Atualize o Craft CMS para a versão 5.10.8 ou posterior.