Katrielmoses

**Nome do Software Vulnerável e Versões Afetadas** Algernon versões anteriores a 1.17.6 **Description** No arquivo `engine/luahandler.go`, o `sync.RWMutex` que protege `LoadCommonFunctions` é liberado antes da execução das funções `L.Push()` e `L.PCall()`. Como o `LState` do gopher-lua não é seguro para goroutines, requisições simultâneas geram uma condição de corrida no estado compartilhado, causando a corrupção da VM Lua. **Recommendations** Atualize para a versão 1.17.6.

**Nome do Software Vulnerável e Versões Afetadas** Algernon versões anteriores a 1.17.6 **Description** A função `uploadedFileSaveIn()` em lua/upload/upload.go utiliza `filepath.Join()` com um diretório fornecido pelo chamador, mas não realiza uma verificação de limite após a operação. Isso permite que um caminho de diretório como `../../../tmp` seja resolvido para `/tmp`, possibilitando que arquivos sejam salvos fora da raiz web pretendida. **Recommendations** Atualize para a versão 1.17.6.