Leowsy-Hashblue

**Nome do Software Vulnerável e Versões Afetadas** Bilibili Desktop versões anteriores a 1.18.0 **Description** O software desabilita a verificação de certificados TLS em todo o processo e executa configurações remotas de JavaScript não assinadas sem realizar verificações de integridade. Um invasor posicionado no caminho da rede pode interceptar as solicitações de configuração para injetar JavaScript arbitrário. Este código é executado no renderizador com acesso à ponte IPC (Inter-Process Communication) privilegiada, o que permite a execução de comandos do sistema ou o roubo de credenciais de login. **Recommendations** Atualize o Bilibili Desktop para uma versão posterior a 1.18.0.

**Nome do Software Vulnerável e Versões Afetadas** APITable versões anteriores a 1.13.0-beta.1 **Descrição** O software expõe o endpoint interno de organização 'loadOrSearch' sem autenticação. Isso permite que atacantes não autenticados recuperem nomes de membros, endereços de e-mail e a hierarquia da equipe. Ao consultar o endpoint com identificadores de espaço obtidos de links compartilhados ou modelos públicos, atacantes podem enumerar o diretório completo de membros de qualquer espaço de trabalho. **Recomendações** Atualize para uma versão posterior a 1.13.0-beta.1. Como mitigação temporária, restrinja o acesso ao endpoint 'loadOrSearch'.

**Nome do Software Vulnerável e Versões Afetadas** Bilibili Desktop versão 1.17.9 **Descrição** Um invasor remoto pode executar código arbitrário por meio dos componentes `bili-inject.js` e `bili-bridge.js`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** apache-airflow-providers-git versões anteriores a 0.4.1 **Description** O provedor Git do Apache Airflow executa operações git-over-SSH com `StrictHostKeyChecking=no` por padrão, desativando a verificação de chave de host SSH. Isso permite que um invasor capaz de interceptar o caminho da rede entre um worker do Airflow e o servidor Git realize um ataque de man-in-the-middle. Tal ataque pode levar à captura da chave de implantação SSH ou à injeção de conteúdo malicioso no repositório. O problema afeta implantações que utilizam o Git DAG bundle ou o provedor Git para clonar via SSH com uma chave de implantação. **Recommendations** Atualize para a versão 0.4.1 ou posterior do apache-airflow-providers-git e configure um arquivo `known hosts`.