Joshua Martinelle

O middleware ClientIPFromXFF no framework web Golang Chi não verifica se o peer TCP direto em `http.Request.RemoteAddr` pertence ao CIDR confiável configurado. Embora o middleware ignore entradas X-Forwarded-For dentro de um CIDR confiável, a falta de verificação do peer permite que um cliente com acesso direto ao servidor anexe um endereço de proxy falsificado. Isso permite que o cliente manipule o endereço IP retornado pela função `GetClientIP()`.

Uma falha de configuração nas imagens Docker oficiais permite que um invasor remoto não autenticado se passe por qualquer usuário, incluindo administradores, falsificando o cabeçalho `X-WEBAUTH-USER`. Isso ocorre porque o modelo `app.ini` define a variável `REVERSE PROXY TRUSTED PROXIES` como um caractere curinga (`*`), fazendo com que a aplicação confie em cabeçalhos de identidade de qualquer endereço IP de origem, em vez de apenas endereços de loopback confiáveis. Este problema é explorável quando a autenticação de proxy reverso está habilitada. Estima-se que aproximadamente 22.900 hosts Gitea únicos estejam acessíveis pela internet, com 83% potencialmente afetados. Atividades de reconhecimento e tentativas de exploração no mundo real foram detectadas 13 dias após a divulgação pública. A falha permite o acesso a repositórios, segredos de CI/CD, chaves SSH e funções administrativas via interface web, embora os endpoints de API baseados em tokens (ex: `/api/v1/...`) não sejam afetados.

O problema é uma vulnerabilidade de injeção SQL autenticada no parâmetro `orderby` no endpoint da API “/pm/v2/activites”. Essa vulnerabilidade afeta o plugin “Project Manager” do WordPress.

O problema está relacionado a uma vulnerabilidade de tipo Stored Cross-Site (XSS) devido à falta de sanitização de entradas.

Nome do software vulnerável e versões afetadas: Flowise versão 1.8.2 Descrição: Existe uma vulnerabilidade de negação de serviço (DoS) sem autenticação no Flowise, levando à falha total da instância que executa uma versão vulnerável devido ao tratamento inadequado das entradas fornecidas pelo usuário no endpoint da API “/api/v1/get-upload-file”. Recomendações: Para o Flowise versão 1.8.2, como solução temporária, considere restringir o acesso ao endpoint da API “/api/v1/get-upload-file” até que uma correção esteja disponível. Além disso, evite usar esse endpoint com entradas de usuários não confiáveis para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Existe uma vulnerabilidade de cross-site scripting armazenado devido à decodificação inadequada de entradas do usuário. Isso permite o armazenamento e a subsequente execução de scripts maliciosos, podendo levar a ações não autorizadas em nome do usuário.

A vulnerabilidade permite que um invasor remoto com poucos privilégios obtenha privilégios de superadministrador ao realizar uma solicitação de atribuição em massa no endpoint “/api/v1/users”.

O problema está relacionado a uma vulnerabilidade de Cross-Site Scripting (XSS). Essa vulnerabilidade é causada pela falta de sanitização do parâmetro GET `notice id`.

O problema está relacionado a uma vulnerabilidade de Stored Cross-Site Scripting (XSS) na URL de rastreamento de pedidos.

O problema está relacionado a uma falsificação de solicitação do lado do servidor (SSRF) que pode ser explorada por meio do endpoint “/v1/avatars/favicon”. Isso se deve a uma correção incompleta de um problema identificado anteriormente.

O problema é uma vulnerabilidade de injeção de SQL sem autenticação. Ela afeta o parâmetro `id` na função `get view`.

The issue is related to an unauthenticated SQL injection vulnerability. This vulnerability is present in the `from` and `to` parameters in the "/my-calendar/v1/events" rest route. It allows a remote attacker to execute arbitrary SQL queries to the database.

A post-authentication stored cross-site scripting issue exists, allowing HTML, including script tags, to be injected into field names. This injection triggers when users visit the Categories or Entries pages after the field is added to a category or section.

The issue is a reflected cross-site scripting vulnerability in the `tax name` parameter of the mdf get tax options in widget action. This can only be triggered by an authenticated user.

The issue is related to an unauthenticated insecure deserialization problem. The `tve labels` parameter of the `tve api form submit` action is passed to the PHP `unserialize()` function without proper sanitization or verification. This could lead to PHP object injection, which, when combined with specific class implementations or gadget chains, and a POP chain, could be used to perform various malicious actions.

The issue is an authenticated SQL injection vulnerability. It affects the `value` parameter in the `get popup data` action.

The issue is an authenticated SQL injection vulnerability. It affects the `search name` parameter in the `eme recurrences list` action.

The issue is related to an unauthenticated insecure deserialization problem. An attacker could exploit this to call files using a PHAR wrapper, which deserializes data and calls arbitrary PHP Objects. This can be used for malicious actions if a POP chain is also present.

The issue is related to an authenticated SQL injection vulnerability in the `lwp forgot password` action. Specifically, the vulnerability is associated with the lack of protection measures for the SQL query structure, which can be exploited by a remote attacker to execute arbitrary code. The `ID` parameter of the `lwp forgot password` action is vulnerable.

The issue is related to a reflected cross-site scripting vulnerability. It affects the `category` parameter of the `qem ajax calendar` action. This vulnerability can be exploited by a remote attacker to conduct a cross-site scripting (XSS) attack, potentially due to insufficient protection of the webpage structure.