Jlleitschuh

Três caminhos de código ignoram as proteções existentes contra Server-Side Request Forgery (SSRF) ao utilizar `http.Get()` bruto em vez do discador validado `hostmatcher.NewDialContext()`. Isso permite que um invasor faça requisições a serviços internos, escaneie redes internas (como `127.0.0.1`, `10.x`, `172.16-31.x` e `192.168.x`) e roube metadados de nuvem de endpoints como `169.254.169.254` (por exemplo, credenciais AWS IMDSv1 ou tokens GCP). Além disso, o uso do esquema `file://` na função `Open()` permite a leitura de arquivos locais, expondo potencialmente arquivos sensíveis como `/etc/gitea/app.ini`, que podem conter credenciais de banco de dados e segredos de assinatura JWT. O problema afeta os seguintes componentes: - A função `Open()` em `modules/uri/uri.go`. - Downloads de ativos de release e patches de PR em `services/migrations/gitea uploader.go` e `services/migrations/dump.go`. - A função `oauth2UpdateAvatarIfNeed()` em `routers/web/auth/oauth.go`.

Existe uma proteção incompleta contra Server-Side Request Forgery (SSRF) na filtragem da lista de permissões de webhooks e migrações. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer requisições para um local não pretendido.

O software não valida conexões HTTPS ao carregar folhas de estilo, o que permite que um atacante Man-in-the-Middle (MITM) injete ou modifique o conteúdo CSS. Isso ocorre porque a conexão é estabelecida usando `OpenSSL::SSL::VERIFY NONE`, fazendo com que o sistema aceite qualquer certificado HTTPS, mesmo os não confiáveis, sem validação. O problema está localizado na configuração `http.verify mode` dentro do arquivo `lib/css parser/parser.rb`.

O transporte de servidor HTTP Streamable no crate `rmcp` não valida o cabeçalho `Host` recebido. Isso permite que um site público malicioso utilize um ataque de DNS rebinding — uma técnica onde um nome de domínio é redirecionado para um endereço IP diferente após a resolução DNS inicial — para enviar solicitações autenticadas para um servidor MCP na interface de loopback ou de rede privada de uma vítima. Um invasor pode enumerar e invocar ferramentas, ler recursos e disparar efeitos colaterais, como gravações de arquivos ou execução de shell. No `dynoxide`, esse problema também permite uma lacuna de CSRF (Cross-Site Request Forgery) cross-origin, onde uma página pode enviar solicitações para um servidor local usando `fetch` com `mode: 'no-cors'`, ignorando a verificação do `Host` porque o cabeçalho `Origin` não é verificado. As ferramentas de escrita afetadas no `dynoxide` incluem `put item()`, `update item()`, `delete item()`, `create table()` e `batch write item()`.

Name of the Vulnerable Software and Affected Versions MCP Java SDK versões anteriores a 1.0.0 Description O MCP Java SDK contém uma vulnerabilidade de DNS rebinding. Isso permite que um invasor acesse um servidor MCP local ou privado de rede através do navegador de uma vítima. Um invasor pode então fazer qualquer chamada de ferramenta para o servidor como se fosse um agente de IA em execução localmente. A vulnerabilidade existe porque nenhuma validação de cabeçalho Origin estava ocorrendo, violando a especificação do Model Context Protocol (MCP). Quando o servidor web que serve o tráfego HTTP para o servidor MCP não executa verificações CORS padrão, um ataque de DNS rebinding é possível. Recommendations Atualize para a versão 1.0.0 ou posterior. Como alternativa, execute o servidor MCP atrás de um proxy reverso configurado para validar estritamente os cabeçalhos `Host` e `Origin`. Alternativamente, use um framework que imponha inerentemente CORS e validação de Origin rigorosos.

The software contains an insecure transport issue due to the use of the `-k` or `--insecure` flag with `curl`, which disables SSL/TLS certificate validation. This allows attackers with network access to conduct man-in-the-middle attacks, potentially intercepting and modifying downloaded dependencies or code during the build process. Successful exploitation could lead to remote code execution and compromise the supply chain. The vulnerable component is the `curl` command used within the provisioning scripts and Dockerfiles.

Existe uma vulnerabilidade crítica de Execução Remota de Código (RCE) no pacote @nestjs/devtools-integration. Quando habilitado, o pacote expõe um servidor HTTP de desenvolvimento local com um endpoint de API que utiliza uma implementação de sandbox JavaScript insegura. Devido ao sandboxing inadequado e à falta de proteções cross-origin, um site malicioso visitado por um desenvolvedor pode executar código arbitrário em sua máquina local. O endpoint vulnerável, `/inspector/graph/interact`, aceita entrada JSON contendo um campo `code`, que é então executado em uma sandbox Node.js `vm.runInNewContext`. A implementação da sandbox é similar à biblioteca abandonada `safe-eval` e permite escape fácil. O servidor não possui verificação adequada de CORS/Origin, permitindo que atacantes contornem as medidas de segurança.

Nome do Software Vulnerável e Versões Afetadas: versões do arduino-esp32 anteriores à 3.2.1 Descrição: O problema afeta vários exemplos de atualização OTA e a implementação do HTTPUpdateServer no núcleo do arduino-esp32, permitindo que um atacante faça upload e execute firmware arbitrário devido à falta de proteção contra Falsificação de Solicitação Entre Sites (CSRF) para uploads de firmware via solicitações POST. Isso resulta em execução remota de código (RCE). Recomendações: Para versões anteriores à 3.2.1, atualize para a versão 3.2.1 para resolver o problema. Como solução temporária, considere desativar o recurso de atualização OTA até que o patch seja aplicado. Restrinja o acesso aos endpoints de atualização para minimizar o risco de exploração. Evite usar a implementação do HTTPUpdateServer até que o problema seja resolvido.

Nome do Software Vulnerável e Versões Afetadas: Versões do ESPAsyncWebServer até e incluindo a 3.7.8 Descrição: Existe uma vulnerabilidade de injeção CRLF na construção e saída de cabeçalhos HTTP no `AsyncWebHeader.cpp`. Entradas não sanitizadas permitem que atacantes injetem caracteres CR (`r`) ou LF (` `) em nomes ou valores de cabeçalho, levando à manipulação arbitrária de cabeçalhos ou respostas. Isso pode possibilitar uma ampla gama de ataques. Recomendações: Para as versões até e incluindo a 3.7.8, aplique a correção disponível no pull request 211, que deve fazer parte da versão 3.7.9. Como solução alternativa temporária, considere restringir a entrada no `AsyncWebHeader.cpp` para evitar injeções de caracteres CR e LF até que o patch seja aplicado.

Nome do Software Vulnerável e Versões Afetadas: Versões do arduino-esp32 anteriores a 3.3.0-RC1 e 3.2.1 Descrição: O problema refere-se a uma vulnerabilidade de Divisão de Resposta HTTP (HTTP Response Splitting). A função `sendHeader` aceita entrada arbitrária para o nome e o valor do cabeçalho HTTP, concatena-os em uma linha de cabeçalho HTTP e anexa isso aos cabeçalhos de resposta HTTP de saída. Não há validação ou sanitização dos parâmetros `name` ou `value` antes de serem incluídos na resposta HTTP. Se um atacante conseguir controlar a entrada para `sendHeader`, ele poderá injetar caracteres de retorno de carro (`r`) ou avanço de linha (` `) no nome ou no valor do cabeçalho. Isso pode permitir ao atacante injetar cabeçalhos adicionais, manipular a estrutura da resposta HTTP, potencialmente injetar uma nova resposta HTTP inteira e/ou causar confusão de cabeçalho ou outros ataques ao protocolo HTTP. Recomendações: Para versões anteriores a 3.3.0-RC1, atualize para a versão 3.3.0-RC1 ou posterior. Para versões anteriores a 3.2.1, atualize para a versão 3.2.1 ou posterior. Como medida temporária de contorno, considere validar e sanitizar a entrada para a função `sendHeader` para prevenir a injeção de caracteres maliciosos.

O problema está relacionado a uma vulnerabilidade de contorno de traversal de caminho parcial na função `ZipSecurity#isBelowCurrentDirectory`. Essa vulnerabilidade permite que invasores “escapem” para caminhos paralelos, embora ainda proteja contra a fuga para diretórios de nível superior. Por exemplo, se o caminho em execução for /my/app/path, um invasor poderia navegar para /my/app/path-something-else. A vulnerabilidade foi corrigida na versão 1.1.2.

The issue affects CC: Tweaked, a mod for Minecraft, allowing any player to gain access to sensitive information exposed via metadata services API endpoints on cloud hosting providers like AWS, GCP, and Azure. This could potentially allow them to pivot or privilege escalate into the hosting provider.

This issue affects OpenComputers with the Internet Card feature enabled, allowing players to gain access to sensitive information exposed via metadata services' API endpoints, such as those provided by cloud hosting providers like AWS, GCP, and Azure. The lack of proper filtering for IPv6 addresses enables broader access into the local IPv6 network, potentially allowing players to retrieve sensitive information from the private IPv4 address space and the whole IPv6 address space.

The typed-rest-client library is vulnerable to leaking authentication data to third parties. This occurs when a request is sent with `BasicCredentialHandler`, `BearerCredentialHandler`, or `PersonalAccessTokenCredentialHandler`, and the target host returns a redirection with a link to a second host. The next request will then use the credentials to authenticate with the second host by setting the `Authorization` header, which is not the expected behavior. The problem was fixed in version 1.8.0.

The issue allows attackers to copy arbitrary files to certain directories via directory traversal, if an allowed directory name is a substring of the directory name chosen by the attacker. This is due to an incomplete fix for a previous issue.

Foi identificada uma vulnerabilidade crítica no jLEMS, afetando a função `unpackJar` do arquivo `src/main/java/org/lemsml/jlems/io/util/JUtil.java`. Essa vulnerabilidade leva à traversal de caminho e pode ser explorada remotamente.

O MPXJ é uma biblioteca de código aberto para ler e gravar planos de projeto a partir de diversos formatos de arquivo e bancos de dados. Em sistemas operacionais do tipo Unix, o uso do `File.createTempFile(..)` pelo MPXJ resulta na criação de arquivos temporários com as permissões `-rw-r--r--`. Isso significa que qualquer outro usuário no sistema pode ler o conteúdo desse arquivo. Quando o MPXJ está lendo um arquivo de programação que requer a criação de um arquivo ou diretório temporário, um usuário local experiente poderia localizar esses arquivos transitórios enquanto eles estão em uso e, assim, seria capaz de ler a programação que está sendo processada pelo MPXJ.

O problema está relacionado à implementação dos métodos `PreparedStatement.setText()` ou `PreparedStatement.setBytea()` no driver PgJDBC, o que pode levar à criação de arquivos temporários que podem ser lidos por outros usuários em sistemas do tipo Unix. Trata-se de um problema de divulgação de informações, em que um invasor poderia potencialmente acessar informações confidenciais. A vulnerabilidade depende da versão do JDK que está sendo usada.

O QTIWorks é um pacote de software para a realização de avaliações baseadas em padrões. O código responsável pelo manuseio de arquivos ZIP não verifica adequadamente os caminhos dos arquivos contidos nos arquivos ZIP, permitindo que arquivos sejam inseridos em outros locais do sistema de arquivos, caso sejam graváveis pelo processo que executa o QTIWorks Engine. Isso poderia permitir que usuários anônimos alterassem arquivos em locais arbitrários no sistema de arquivos. No entanto, em implantações normais do QTIWorks Engine, o impacto é um pouco reduzido, pois a configuração padrão do QTIWorks não habilita a funcionalidade de demonstração pública; assim, os arquivos ZIP só podem ser enviados por usuários com privilégios de “instrutor”.

O Knowage é um pacote de código aberto para análise de negócios moderna, uma alternativa aos sistemas de big data. O software está vulnerável a scripts entre sites (XSS) porque o método `XSSRequestWrapper::stripXSS` pode ser contornado.