Komiljon Ayubov

**Nome do Software Vulnerável e Versões Afetadas** daptin versões anteriores a 0.12.35 **Description** Uma falha de autorização inadequada permite que atacantes remotos não autenticados realizem operações de leitura, criação, atualização e exclusão em registros de usergroup. A falha reside no arquivo `server/permission/permission.go` dentro das funções de verificação de permissão `CanRead()`, `CanPeek()`, `CanCreate()`, `CanUpdate()`, `CanDelete()` e `CanRefer()`. Essas funções retornam verdadeiro quando o `p.UserId` coincide com o `userId` solicitante, mas falham ao rejeitar referências nulas ou zero. Como as linhas da tabela usergroup não possuem um `user account id` e são carregadas com um proprietário nulo, um convidado não autenticado com um `UserId` de sessão nulo obtém acesso total de CRUD (Criação, Leitura, Atualização, Exclusão) a todos os objetos de usergroup. **Recommendations** Atualize o daptin para a versão 0.12.35 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fastschema versões anteriores a 0.15.2 **Descrição** Ocorre uma desreferenciação de ponteiro NULL quando o servidor falha ao validar se um ponteiro não é nulo antes do uso. Um invasor remoto não autenticado pode causar um pânico fatal que encerra o processo do servidor enviando uma única requisição HTTP para o endpoint '/api/auth/local/recover'. Este problema está localizado na função `sendOTPEmail()` no arquivo pkg/auth/local.go, onde um ponteiro é desreferenciado a partir de um caminho de erro não verificado. **Recomendações** Atualize para uma versão posterior à 0.15.1. Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/auth/local/recover' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** fastschema versões anteriores a 0.15.2 **Description** Um problema de cross-site scripting (XSS) armazenado existe onde um usuário autenticado de baixo privilégio pode fazer o upload de um arquivo SVG contendo JavaScript malicioso. Isso ocorre porque a função `PutMultipart()` em `pkg/rclonefs/base.go` valida o cabeçalho `Content-Type` fornecido pelo cliente em vez de inspecionar o conteúdo real do arquivo. Um invasor pode ignorar a verificação da lista de permissões de tipo MIME renomeando um arquivo para .jpg enquanto especifica `image/svg+xml` como o cabeçalho, permitindo o armazenamento de um SVG com script na raiz da web. **Recommendations** Atualize o fastschema para a versão 0.15.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fastschema versões anteriores a 0.15.2 **Descrição** Uma condição de corrida de tempo de verificação/tempo de uso (TOCTOU) ocorre no fluxo de recuperação de conta. Este problema permite que um invasor remoto não autenticado ignore o limite de tentativas de Senha de Uso Único (OTP), facilitando ataques de força bruta em códigos OTP de 6 dígitos. A função `verifyOTPSession()` em pkg/auth/local.go lê e incrementa o contador de tentativas usando operações não atômicas separadas. Isso permite que solicitações simultâneas observem a mesma contagem de tentativas abaixo do limite e ultrapassem a verificação de limite antes que a atualização seja confirmada. Uma condição de corrida TOCTOU é um erro de software onde um programa verifica o estado de um recurso e depois age sobre esse recurso, mas o estado muda entre a verificação e a ação. **Recomendações** Atualize o fastschema para a versão 0.15.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CoreBunch/Instatic versões 0.0.1 through 0.0.14 **Description** Um atacante remoto não autenticado pode envenenar o cache de renderização compartilhado em todo o processo. Ao manipular o parâmetro de consulta `u` do endpoint de ilha de servidor GET '/ instatic/hole/<nodeId>', um atacante pode alimentar o quadro de modelo de rota usado para renderização. Como o resultado é armazenado em um cache compartilhado indexado apenas por `nodeId`, isso permite a injeção de uma rota manipulada, fazendo com que os visitantes subsequentes recebam conteúdo de fragmento malformado ou controlado pelo atacante. **Recommendations** Atualize o CoreBunch/Instatic para uma versão posterior à 0.0.14. Evite usar o parâmetro `u` no endpoint '/ instatic/hole/<nodeId>' até que o software seja atualizado.