Kolega-Ai-Dev

**Nome do Software Vulnerável e Versões Afetadas** IBM Langflow OSS versões 1.0.0 through 1.10.0 **Descrição** O Langflow utiliza um mecanismo de derivação de chave fraco e reversível para criptografia em repouso, o que pode permitir a divulgação de todas as credenciais armazenadas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** portainer-ce versões 2.33.0 a 2.33.7 portainer-ce-agent versões 2.33.0 a 2.33.7 **Description** Existe uma falha de bypass de autorização na camada de middleware `kubeClientMiddleware` dentro do arquivo `api/http/handler/kubernetes/handler.go`. O middleware valida os tokens de usuário antes de encaminhar o tráfego para clusters Kubernetes; no entanto, quando a função `security.RetrieveTokenData()` retorna um erro, o sistema escreve uma resposta HTTP 403, mas não interrompe a execução. Isso permite que a requisição prossiga para o manipulador com um valor `tokenData` nulo, ignorando as verificações de autorização. Um invasor com uma sessão válida do Portainer pode usar essa falha para ler ou modificar recursos do Kubernetes, como pods, secrets, config maps e deployments, em endpoints de destino que sua função não deveria permitir. Isso pode potencialmente levar à movimentação lateral se credenciais sensíveis forem recuperadas de secrets do Kubernetes. **Recommendations** Atualizar o portainer-ce para a versão 2.33.8. Atualizar o portainer-ce-agent para a versão 2.33.8. Restringir o acesso aos endpoints do Kubernetes, removendo o acesso para usuários que não necessitem dele. Auditar o RBAC do Kubernetes para garantir que a conta de serviço utilizada pelo Portainer siga o princípio do privilégio mínimo.

**Nome do Software Vulnerável e Versões Afetadas** Portainer Community Edition versões anteriores a 2.39.0 **Description** O recurso de restauração de backup aceita um arquivo `.tar.gz` e o extrai para um diretório de destino no servidor. A função de extração `ExtractTarGz()` em `api/archive/targz.go` constrói caminhos de saída usando `filepath.Clean(filepath.Join(outputDirPath, header.Name))`, o que não impede a travessia de diretório (directory traversal). Um arquivo manipulado contendo entradas como `../../etc/cron.d/evil` pode resolver para caminhos fora da raiz de extração, permitindo que um invasor com acesso de administrador escreva arquivos em locais arbitrários no sistema de arquivos do servidor. Isso pode levar à escrita de arquivos arbitrários em qualquer caminho acessível ao processo do Portainer e a uma potencial persistência no host ao escrever em diretórios de cron, arquivos de chaves autorizadas SSH ou caminhos executáveis. **Recommendations** Atualize para a versão 2.39.0 ou posterior. Atualize para a versão 2.33.8 para aqueles que utilizam o ramo LTS 2.33.x. Restaure arquivos apenas de fontes confiáveis e evite arquivos recebidos de partes não confiáveis ou transmitidos por canais não criptografados. Utilize a criptografia de backup para garantir que apenas aqueles com a senha correta possam fornecer um arquivo válido para extração.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.0 **Descrição** O software utiliza um valor padrão codificado e fraco 'Secre$t' para a variável de ambiente `TOKEN HASH SECRET` no arquivo `packages/server/src/enterprise/utils/tempTokenUtils.ts` quando a variável não está configurada. Este segredo é usado para derivar uma chave AES-256-CBC (Advanced Encryption Standard com Cipher Block Chaining) para criptografar IDs de usuário e IDs de workspace no campo 'meta' de tokens JWT (JSON Web Tokens). Um invasor que conheça o segredo padrão pode descriptografar esses metadados para extrair identificadores internos ou re-criptografar valores manipulados. Embora a assinatura do JWT seja validada separadamente, a divulgação e a manipulação desses metadados podem facilitar o acesso não autorizado a dados ou a escalada de privilégios. **Recomendações** Atualize para a versão 3.1.0 ou posterior. Configure a variável de ambiente `TOKEN HASH SECRET` com um valor forte e aleatório contendo pelo menos 32 bytes de entropia.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.1.0 **Description** O middleware de autenticação enterprise passport em `packages/server/src/enterprise/middleware/passport/index.ts` utiliza valores padrão fixos e fracos para segredos JWT (`auth token`, `refresh token`) e valores de audiência/emissor (`AUDIENCE`, `ISSUER`). Se as variáveis de ambiente `JWT AUTH TOKEN SECRET`, `JWT REFRESH TOKEN SECRET`, `JWT AUDIENCE` e `JWT ISSUER` não estiverem configuradas, a aplicação retorna silenciosamente para esses padrões publicamente conhecidos. Isso permite que um invasor não autenticado forje JSON Web Tokens (JWT) válidos e personifique qualquer usuário, incluindo administradores, resultando em um bypass de autenticação completo e controle total da instância. **Recommendations** Atualizar para a versão 3.1.0. Configurar manualmente as variáveis de ambiente `JWT AUTH TOKEN SECRET`, `JWT REFRESH TOKEN SECRET`, `JWT AUDIENCE` e `JWT ISSUER` com segredos fortes, únicos e criptograficamente aleatórios de 256 bits ou mais.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões 3.0.13 e anteriores **Descrição** O software utiliza um segredo padrão codificado (hardcoded) fraco ('flowise') para o middleware express-session quando a variável de ambiente `EXPRESS SESSION SECRET` não está configurada. Como este segredo é publicamente visível no código-fonte, um invasor pode forjar cookies de sessão assinados válidos para personificar qualquer usuário e ignorar a autenticação. **Recomendações** Atualize para a versão 3.1.0 ou posterior. Configure a variável de ambiente `EXPRESS SESSION SECRET` com um valor forte e exclusivo.

**Name of the Vulnerable Software and Affected Versions** Langflow versions prior to 1.9.0 **Description** Langflow is a tool for building and deploying AI-powered agents and workflows. The `delete api key route()` endpoint, which accepts the `api key id` path parameter, performs only a generic authentication check. The `delete api key()` function does not verify if the API key belongs to the current user before deleting it. This allows an authenticated attacker to enumerate and delete API keys belonging to other users by guessing or discovering their API key IDs, potentially leading to account takeover, denial of service, and disruption of integrations. The vulnerable code is located in src/backend/base/langflow/api/v1/api key.py lines 44-53. The `delete api key()` function in crud.py lines 44-49 retrieves the API key by ID and deletes it without checking ownership. **Recommendations** Modify the `delete api key` endpoint and function: Pass `current user` to the `delete` function. In `delete api key()`, verify `api key.user id == current user.id` before deletion. Raise a 403 Forbidden error if the user does not own the key.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões anteriores a 3.0.13 **Descrição** O software utiliza bcrypt com um valor padrão de salt rounds de 5, resultando em apenas 32 iterações. Isso é significativamente inferior ao mínimo de 10 rounds (1024 iterações) recomendado pela OWASP. Esta fraqueza criptográfica permite que atacantes, utilizando hardware de GPU moderno, quebrem hashes de senhas aproximadamente 30 vezes mais rápido em caso de violação do banco de dados, comprometendo potencialmente todas as contas de usuário. O problema está presente na função `getHash()` e no processo `resetPassword`. **Recomendações** Atualize para a versão 3.0.13 ou posterior. Aumente a variável de ambiente `PASSWORD SALT HASH ROUNDS` para pelo menos 10, ou 12 para um melhor equilíbrio entre segurança e desempenho.

**Nome do Software Vulnerável e Versões Afetadas** NocoDB, versões anteriores a 0.301.0 **Descrição** Uma vulnerabilidade de Falsificação de Solicitação do Lado do Servidor (SSRF) existe na funcionalidade `uploadViaURL` devido a uma solicitação `HEAD` não protegida. A solicitação inicial de metadados é executada sem validação, permitindo solicitações de saída limitadas para URLs arbitrárias antes que os controles de SSRF sejam aplicados. A função `uploadViaURL()` utiliza `axios.head()` para recuperar metadados sem filtragem de SSRF. Esta solicitação é realizada antes que as proteções de SSRF sejam aplicadas. O impacto é limitado, já que apenas solicitações `HEAD` são afetadas e nenhuma exfiltração direta de dados de resposta ocorre. No entanto, pode permitir SSRF cego por meio de solicitações `HEAD` de saída, sondagem limitada de serviços internos e interação com endpoints internos sensíveis que respondem a solicitações `HEAD`. A vulnerabilidade não permite acesso arbitrário a dados nem comprometimento total da rede interna por si só. Uma prova de conceito envolve enviar uma solicitação POST ao endpoint `/api/v2/storage/upload-by-url` com uma URL maliciosa no parâmetro `url`. **Recomendações** As versões anteriores a 0.301.0 devem ser atualizadas para a versão 0.301.0 ou posterior.