Kpatsakis

**Nome do Software Vulnerável e Versões Afetadas** Pallets Click versões 8.3.2 e anteriores **Descrição** Um problema de injeção de comando existe na função `click.edit()`, que permite que uma conta não privilegiada execute comandos arbitrários do sistema operacional. **Recomendações** Atualize para uma versão posterior à 8.3.2. Como medida paliativa temporária, considere restringir o uso da função `click.edit()`.

**Nome do Software Vulnerável e Versões Afetadas** ONNX versões anteriores a 1.21.0 **Descrição** A função `save external data()` constrói um caminho de arquivo de dados externos usando o campo de localização `external data` e o abre para gravação sem utilizar as flags `O NOFOLLOW` ou `O EXCL`, após uma verificação não atômica `os.path.isfile()`. Um invasor local com acesso de gravação ao diretório onde os dados externos são serializados pode criar um link simbólico (symlink) que é seguido pela aplicação. Isso permite que o invasor faça com que a aplicação anexe dados a qualquer arquivo que a vítima tenha permissão para gravar, como configurações de aplicativos, arquivos cron ou `~/.ssh/authorized keys`. **Recomendações** Atualizar para a versão 1.21.0.