Kazi Sabbir

**Nome do Software Vulnerável e Versões Afetadas** RosarioSIS versões anteriores a 12.9 **Description** Usuários autenticados podem excluir arquivos permitidos por meio de uma falha de path traversal nos módulos de Usuários e Alunos. Ao utilizar sequências de diretórios pai no parâmetro de requisição `filename`, um invasor pode escapar dos diretórios de upload para desvincular recursos CSS, XML, JSON e documentos de outros usuários em toda a instalação. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web. **Recommendations** Atualize para a versão 12.9 ou posterior. Restrinja o uso do parâmetro `filename` nos módulos de Usuários e Alunos até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** EspoCRM versões anteriores a 10.0.9 **Descrição** O software utiliza a função `rand()` do PHP para gerar tokens para opt-in de captura de leads, convites de eventos e URLs de campanhas. Como a função `rand()` não é um gerador criptograficamente seguro, invasores remotos não autenticados podem adivinhar esses tokens de aproximadamente 31 bits. Isso permite que invasores confirmem opt-ins, aceitem ou recusem convites de eventos em nome de outros contatos e acessem detalhes de eventos. **Recomendações** Atualize o EspoCRM para a versão 10.0.9 ou posterior.