Kodareef5

**Nome do Software Vulnerável e Versões Afetadas** KubePi versões anteriores a 2.0.0 **Description** Os endpoints da API de configuração de SSO estão expostos no mesmo limite de roteamento público que os endpoints de login e callback de SSO, permitindo que operações de gerenciamento de SSO, OIDC e SAML sejam acessadas sem autorização de administrador. Isso permite que usuários não autorizados ou com baixos privilégios inspecionem ou modifiquem a configuração de autenticação, o que, sob certas condições, pode levar ao sequestro de contas ou escalonamento de privilégios. Adicionalmente, a função de teste de conectividade de SSO pode ser abusada como uma primitiva de server-side request forgery (SSRF)—uma técnica onde um invasor induz o servidor a fazer requisições para um local não pretendido. Além disso, a API de lista de usuários retorna objetos de usuário sem limpar consistentemente os campos relacionados à autenticação. **Recommendations** Atualizar para a versão 2.0.0.

**Nome do Software Vulnerável e Versões Afetadas** NATS Server versões anteriores a 2.14.3 NATS Server versões anteriores a 2.12.8 **Description** As verificações de destino de rastreamento de mensagens não são aplicadas consistentemente a mensagens que chegam por meio de conexões de leafnode. Isso permite que um operador de leafnode envie eventos de rastreamento para assuntos que normalmente seriam restritos e utilize o comportamento de rastreamento exclusivo para bloquear a entrega ou o armazenamento padrão de mensagens afetadas. **Recommendations** Atualize o NATS Server para a versão 2.14.3 ou posterior. Atualize o NATS Server para a versão 2.12.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** NATS Server versões anteriores a 2.12.8 NATS Server versões anteriores a 2.11.17 **Description** Um peer não autenticado com acesso de rede a um listener de leafnode com compressão habilitada pode causar a falha do servidor. Isso ocorre durante o handshake de leafnode pré-autenticação quando mensagens repetidas do protocolo leafnode INFO são enviadas antes que os processos de autenticação e configuração de conta sejam concluídos. **Recommendations** Atualize o NATS Server para a versão 2.12.8 ou posterior. Atualize o NATS Server para a versão 2.11.17 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** NATS Server versões anteriores a 2.14.3 NATS Server versões anteriores a 2.12.12 **Description** Um cliente MQTT autenticado pode se inscrever na família de assuntos interna `$MQTT.deliver.pubrel`. Esta ação permite que o cliente ignore as permissões de inscrição configuradas e exponha metadados do protocolo MQTT QoS2 para sessões na conta. QoS2 (Quality of Service nível 2) é um mecanismo de protocolo que garante que uma mensagem seja entregue exatamente uma vez. **Recommendations** Atualize o NATS Server para a versão 2.14.3 ou posterior. Atualize o NATS Server para a versão 2.12.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Coolify versões anteriores a 4.0.0-beta.471 **Description** Coolify é uma ferramenta de código aberto e auto-hospedável para gerenciamento de servidores, aplicações e bancos de dados. Um usuário autenticado pode executar comandos em servidores gerenciados quando um recurso é excluído, pois o campo `LocalPersistentVolume.name` é interpolado diretamente em comandos de shell de volume do docker sem a devida filtragem de argumentos de shell. Isso permite a injeção de metacaracteres de shell no nome do armazenamento. **Recommendations** Atualize para a versão 4.0.0-beta.471.

**Nome do Software Vulnerável e Versões Afetadas** authentik versões anteriores a 2025.12.5 authentik versões anteriores a 2026.2.3 **Description** O processador de resposta da fonte SAML `ResponseProcessor.parse()` não valida o elemento Conditions em asserções. Especificamente, `NotBefore`, `NotOnOrAfter` e `AudienceRestriction` são ignorados, o que permite a repetição de asserções expiradas e a aceitação de asserções destinadas a outros provedores de serviço. **Recommendations** Atualize para a versão 2025.12.5. Atualize para a versão 2026.2.3.

**Nome do Software Vulnerável e Versões Afetadas** gix versões anteriores a 0.82.0 gix-validate versões anteriores a 0.11.1 **Description** Um problema de traversal de caminho existe devido à validação inadequada de nomes de submódulos e a uma falha de herança de confiança. A função `name()` em `gix-validate` verifica apenas a primeira ocorrência de `..`, permitindo que nomes manipulados como `a..b/../../../.git/` ignorem a verificação. Além disso, essa validação não é invocada em caminhos de código de produção. Em `Submodule::open()`, o `git dir trust` do repositório pai (definido como `Trust::Full`) é clonado, o que faz com que o sistema ignore a verificação de propriedade. Um invasor pode explorar isso criando um arquivo `.gitmodules` malicioso, levando uma ferramenta construída com gitoxide a ler configurações arbitrárias de repositórios git, incluindo credenciais incorporadas, ignorando as proteções de diretório seguro. **Recommendations** Atualize o gix para a versão 0.82.0 ou posterior. Atualize o gix-validate para a versão 0.11.1 ou posterior. Como mitigação temporária, evite realizar operações de submódulo, como chamar `open()` ou `status()`, em repositórios de fontes não confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Cilium versões anteriores a 1.17.15 Cilium versões 1.18.0 a 1.18.8 Cilium versões 1.19.0 a 1.19.2 **Description** Quando executada em implantações com criptografia WireGuard habilitada, a saída da ferramenta de depuração `cilium-bugtool` pode conter dados sensíveis. Especificamente, a chave privada WireGuard `cilium wg0.key`, utilizada para comunicação criptografada entre nós, pode ser exposta. Esta ferramenta é normalmente invocada manualmente ou durante a coleta de sysdumps através do comando `cilium sysdump`. **Recommendations** Atualizar para a versão 1.17.15 para versões anteriores a 1.17.15. Atualizar para a versão 1.18.9 para versões 1.18.0 a 1.18.8. Atualizar para a versão 1.19.3 para versões 1.19.0 a 1.19.2. Rotacionar as chaves WireGuard nos nós afetados, excluindo o arquivo de chave e reiniciando o agente Cilium para gerar um novo par de chaves, caso arquivos do bugtool ou sysdump tenham sido compartilhados.

**Nome do Software Vulnerável e Versões Afetadas** gitoxide versões anteriores a 0.69.0 **Description** O problema envolve a indexação de array não verificada durante a aplicação de delta e a alocação de memória sem limite disparada por cabeçalhos de tamanho controlados por atacantes no módulo `gix-pack`. Um atacante pode enviar dados de pacote especialmente manipulados durante operações de clone ou fetch para causar o pânico do processo ou a interrupção do mesmo por falta de memória. **Recommendations** Atualize para a versão 0.69.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Traefik versões anteriores a 2.11.43 Traefik versões anteriores a 3.6.14 Traefik versões anteriores a 3.7.0-rc.2 **Descrição** Um problema de canal lateral de tempo existe no middleware BasicAuth. Uma variável destinada a fornecer um segredo de fallback de tempo constante resolve-se consistentemente para uma string vazia, o que faz com que a comparação de tempo constante seja interrompida rapidamente em vez de realizar uma avaliação bcrypt completa. Isso cria um oráculo de tempo, permitindo que um invasor enumere nomes de usuário válidos medindo as diferenças nos tempos de resposta de autenticação. **Recomendações** Atualizar para a versão 2.11.43 Atualizar para a versão 3.6.14 Atualizar para a versão 3.7.0-rc.2

**Name of the Vulnerable Software and Affected Versions** Contour versões 1.19.0 até 1.31.5 Contour versões 1.32.0 até 1.32.4 Contour versões 1.33.0 até 1.33.3 **Description** O recurso de Cookie Rewriting está suscetível à injeção de código Lua. Um invasor com permissões de RBAC para criar ou modificar recursos HTTPProxy pode fornecer valores maliciosos nas variáveis `spec.routes[].cookieRewritePolicies[].pathRewrite.value` ou `spec.routes[].services[].cookieRewritePolicies[].pathRewrite.value`, resultando na execução de código arbitrário no proxy Envoy. Isso ocorre porque valores controlados pelo usuário são interpolados no código-fonte Lua usando Go text/template sem a sanitização suficiente. Embora o código injetado seja executado apenas na própria rota do invasor, ele pode ser usado para ler credenciais de cliente xDS do Envoy no sistema de arquivos — expondo potencialmente certificados TLS e chaves privadas de outros locatários — ou causar a negação de serviço para outros locatários que compartilham a instância do Envoy. **Recommendations** Atualizar para a versão 1.31.6. Atualizar para a versão 1.32.5. Atualizar para a versão 1.33.4.

**Name of the Vulnerable Software and Affected Versions** Tekton Pipelines versões anteriores a 1.11.1 **Description** Uma falha de validação na restrição de caminho do VolumeMount permite a montagem de volumes em caminhos internos restritos '/tekton/' usando componentes de travessia de caminho '..'. A verificação de restrição utiliza a função `strings.HasPrefix` sem aplicar o `filepath.Clean`, o que significa que um caminho como '/tekton/home/../results' passa na validação, mas é resolvido como '/tekton/results' em tempo de execução. Isso ocorre porque '/tekton/home' é um prefixo permitido, permitindo que a travessia ignore a verificação. Este problema existe nos arquivos `container validation.go` e `task validation.go`. Um usuário autenticado com permissões de criação de Task ou TaskRun pode explorar isso para gravar resultados de tarefas falsos, ler ou modificar scripts de etapa antes da execução ou interferir no estado de coordenação do ponto de entrada. **Recommendations** Atualizar para a versão 1.11.1. Utilizar controladores de admissão, como OPA/Gatekeeper ou Kyverno, para validar que os caminhos do VolumeMount não contenham componentes '..'. Restringir as permissões para criar recursos de Task e TaskRun via RBAC em ambientes multi-tenant.

**Name of the Vulnerable Software and Affected Versions** Tekton Pipelines versões 1.0.0 até 1.10.x **Description** O resolvedor git não valida o parâmetro `revision`, que é passado diretamente como um argumento posicional para o comando `git fetch`. Isso permite que um invasor injete flags arbitrárias, como `--upload-pack=<binary>`. Além disso, a função `validateRepoURL` permite URLs que começam com `/`, possibilitando o uso de caminhos do sistema de arquivos local. Um locatário capaz de enviar objetos `ResolutionRequest` pode combinar esses comportamentos para executar binários arbitrários no pod do resolvedor. Como a ServiceAccount `tekton-pipelines-resolvers` possui permissões de `get`, `list` e `watch` em todos os Secrets em nível de cluster, isso pode levar à exfiltração total de segredos de todo o cluster. **Recommendations** Atualize para a versão 1.11.1.

**Name of the Vulnerable Software and Affected Versions** Statamic versões anteriores a 5.73.20 Statamic versões anteriores a 6.13.0 **Description** A manipulação de parâmetros de consulta em endpoints do Painel de Controle e da API REST, ou argumentos em consultas GraphQL, pode resultar na perda de conteúdo, ativos e contas de usuário. A exploração via Painel de Controle requer autenticação com permissões mínimas, como a permissão "view entries" para excluir entradas ou a permissão "view users" para excluir usuários. As explorações direcionadas às APIs REST e GraphQL não requerem permissões, porém essas APIs não são habilitadas por padrão; elas precisariam ser explicitamente habilitadas sem autenticação configurada e com os recursos específicos habilitados para serem exploradas. **Recommendations** Atualizar para a versão 5.73.20 Atualizar para a versão 6.13.0

**Name of the Vulnerable Software and Affected Versions** OAuth2 Proxy versões anteriores a 7.15.2 **Description** Existe um bypass de autorização na opção de imposição `email domain`. Um invasor pode se autenticar usando um claim de e-mail malformado, como `attacker@evil.com@company.com`, para satisfazer uma verificação de domínio permitido para `company.com`. Este problema afeta especificamente implementações que dependem de restrições de `email domain` e que aceitam valores de claim de e-mail de provedores de identidade ou mapeamentos de claim que não impõem rigorosamente a sintaxe normal de e-mail. O risco está presente principalmente em ambientes OIDC auto-hospedados ou personalizados e configurações federadas onde valores de claim inesperados podem chegar ao proxy. **Recommendations** Atualize para a versão 7.15.2 ou posterior. Certifique-se de que o provedor de identidade configurado não possa emitir valores de claim de e-mail malformados ou controlados por invasores.

**Nome do Software Vulnerável e Versões Afetadas** External Secrets Operator versões anteriores a 2.3.0 **Descrição** O mecanismo de template v2 em `runtime/template/v2/template.go` remove `env` e `expandenv` do `TxtFuncMap()`, mas deixa a função `getHostByName()` acessível para templates controlados pelo usuário. Como o controlador executa templates dentro de seu próprio processo, um invasor capaz de criar ou atualizar recursos ExternalSecret com templates pode disparar consultas DNS no lado do controlador usando valores derivados de segredos. Isso cria um primitivo de exfiltração de DNS, permitindo que materiais de segredos recuperados sejam vazados via consultas DNS sem exigir acesso direto à rede externa a partir da carga de trabalho do invasor. Isso resulta em um problema de confidencialidade em ambientes onde usuários de menor confiança podem criar esses recursos e o controlador possui capacidade de resolução de DNS. **Recomendações** Atualizar para a versão 2.3.0. Restringir a capacidade de usuários não confiáveis ou de menor confiança de criar ou atualizar recursos ExternalSecret com templates.

Name of the Vulnerable Software and Affected Versions Cosign versões anteriores a 3.0.6 e anteriores a 2.6.3 Description Cosign, uma ferramenta para assinatura de código e transparência para contêineres e binários, apresentava uma falha em `verify-blob-attestation` onde poderia relatar incorretamente uma verificação bem-sucedida (“Verified OK”) para atestações contendo cargas úteis malformadas ou tipos de predicado incompatíveis. Isso ocorreu devido a um erro de lógica na validação do tipo de predicado para formatos de pacote mais antigos e uma ignorância completa da validação do tipo de predicado para formatos de pacote mais recentes. Recommendations Atualize para a versão 3.0.6 ou posterior. Atualize para a versão 2.6.3 ou posterior.

File Browser versões anteriores a 2.63.1 Descrição: File Browser é uma interface de gerenciamento de arquivos. Antes da versão 2.63.1, uma correção destinada a restringir permissões de execução para usuários auto-registrados não foi aplicada ao manipulador de autenticação proxy. Isso permitiu que usuários criados automaticamente no primeiro login de autenticação proxy bem-sucedido herdassem capacidades de execução das configurações globais, violando uma invariante de segurança. Esta questão é uma correção incompleta para um problema anterior em que o registro concedia permissões de execução quando as permissões padrão incluíam execução. A vulnerabilidade está relacionada à aplicação de configurações padrão na função `createUser()` em `auth/proxy.go`, onde as restrições à permissão `Execute` e `Commands` estavam faltando em comparação com o manipulador de registro. Endpoint da API: /api/login. Parâmetros vulneráveis: `username`. Nome da função: `createUser()`. Recomendações: Atualize para a versão 2.63.1 ou posterior do File Browser.

**Nome do Software Vulnerável e Versões Afetadas** File Browser versões anteriores a 2.63.1 **Description** O File Browser é uma interface de gerenciamento de arquivos para upload, exclusão, visualização, renomeação e edição de arquivos dentro de um diretório especificado. A função `resourceGetHandler` em `http/resource.go` retorna o conteúdo completo de arquivos de texto sem verificar a flag de permissão `Perm.Download`. Enquanto outros endpoints de serviço de conteúdo, como `/api/raw`, `/api/preview` e `/api/subtitle`, aplicam corretamente essa permissão, um usuário com `download: false` pode ignorar essa restrição para ler qualquer arquivo de texto dentro de seu escopo autorizado. Isso ocorre por meio de dois caminhos: o endpoint `/api/resources` retornando um campo JSON `content` e o uso do cabeçalho `X-Encoding: true` para retornar bytes brutos. Este problema permite o acesso não autorizado a informações sensíveis, como código-fonte, arquivos de configuração, credenciais e tokens de API armazenados em texto. **Recommendations** Atualize o File Browser para a versão 2.63.1.

Name of the Vulnerable Software and Affected Versions File Browser versões anteriores a 2.63.1 Description File Browser é uma interface de gerenciamento de arquivos para upload, exclusão, visualização, renomeação e edição de arquivos dentro de um diretório especificado. A função `Matches()` em rules/rules.go usa `strings.HasPrefix()` sem um separador de diretório final ao corresponder caminhos a regras de acesso. Uma regra para /uploads também corresponde a /uploads backup/, concedendo ou negando acesso a diretórios não intencionais. Recommendations Atualize para a versão 2.63.1 ou posterior.