Kirill Nikolaev

**Nome do Software Vulnerável e Versões Afetadas** vsDesk versões anteriores a 14.0101 **Descrição** A aplicação utiliza um método fraco e previsível baseado no timestamp da requisição para gerar nomes de arquivos carregados. Esta falha permite que um atacante remoto adivinhe ou realize brute-force no nome do arquivo gerado dentro de uma curta janela de tempo, permitindo o acesso não autorizado a arquivos carregados para facilitar ataques adicionais. **Recomendações** Atualize para a versão 14.0101 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vsDesk versões anteriores a 14.0101 **Description** Uma falha de injeção de comando de SO existe devido à filtragem insuficiente de entrada. Isso permite que um invasor autenticado com privilégios administrativos execute comandos arbitrários do sistema operacional, o que pode levar à interrupção das operações do servidor web, exposição de dados sensíveis ou comprometimento total do servidor. **Recommendations** Atualize para a versão 14.0101 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vsDesk versões anteriores a 14.0402 **Description** Um invasor autenticado com privilégios administrativos pode ignorar a validação de arquivos do lado do cliente no componente "Import via CSV" devido à falta de validação no lado do servidor. Essa falha permite o upload de arquivos arbitrários, o que pode levar à Execução Remota de Código (RCE), que é a capacidade de executar comandos maliciosos na máquina hospedeira, dentro do contexto da aplicação web. **Recommendations** Atualize para a versão 14.0402 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado versões anteriores a 14.0101 **Descrição** Um componente da aplicação processa parâmetros fornecidos pelo usuário de forma insegura, passando-os para consultas SQL. Essa falha permite a injeção de SQL cega (blind SQL injection), uma técnica usada para extrair informações de um banco de dados observando a resposta da aplicação a consultas específicas, o que pode levar à exposição do conteúdo do banco de dados ou fazer com que a aplicação pare de responder. **Recomendações** Atualize para a versão 14.0101 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vsDesk versões anteriores a 14.0402 **Description** Um problema de desserialização insegura permite que um invasor remoto obtenha acesso administrativo não autorizado. Ao manipular os dados de configuração da aplicação, um invasor pode forçar o sistema a se autenticar em um servidor LDAP arbitrário e provisionar uma nova conta administrativa. A desserialização insegura ocorre quando dados não confiáveis são usados para abusar da lógica de uma aplicação para executar código arbitrário ou manipular o comportamento do sistema. **Recommendations** Atualize para a versão 14.0402 ou posterior.

**Name of the Vulnerable Software and Affected Versions** SpotAuditor version 5.3.2 **Description** SpotAuditor 5.3.2 contains a local buffer overflow in the Base64 Encrypted Password tool. An attacker can execute arbitrary code by crafting a malicious payload. Specifically, a specially crafted Base64 encoded payload can trigger a Structured Exception Handler (SEH) overwrite, allowing the execution of shellcode on the vulnerable system. A Structured Exception Handler (SEH) is a mechanism in Windows operating systems for handling exceptions during program execution. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.