Lutz Wolf

**Nome do Software Vulnerável e Versões Afetadas** Oracle Agile PLM Framework versão 9.3.6 **Descrição** O problema está relacionado à validação de entrada insuficiente no componente Agile Integration Services, permitindo que um atacante com baixos privilégios e acesso à rede via HTTP comprometa o Oracle Agile PLM Framework. Isso pode resultar na tomada de controle do sistema, impactando a confidencialidade, a integridade e a disponibilidade. A vulnerabilidade é facilmente explorável e pode afetar significativamente produtos adicionais. A Oracle lançou um patch para corrigir esta falha como parte de sua Critical Patch Update de janeiro de 2025, que inclui correções para 318 vulnerabilidades em seus produtos. **Recomendações** Para a versão 9.3.6, atualize para uma versão mais recente que inclua a correção para este problema, conforme fornecido na Critical Patch Update de janeiro de 2025 da Oracle. Como medida temporária, considere restringir o acesso ao componente Agile Integration Services para minimizar o risco de exploração. Evite utilizar o componente vulnerável até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Oracle Agile PLM versão 9.3.6 **Description** Um problema de autorização incorreta existe no Oracle Agile PLM Framework da Oracle Supply Chain, especificamente no componente Software Development Kit Process Extension. Esta falha é causada por validação insuficiente de dados de entrada e permite que um invasor remoto não autenticado, com acesso à rede via HTTP, ignore a autenticação. A exploração bem-sucedida permite que o invasor revele informações protegidas, acesse dados críticos ou baixe arquivos confidenciais do sistema. Este problema foi explorado ativamente em ataques reais. **Recommendations** Aplicar patches de segurança para a versão 9.3.6 imediatamente.

**Nome do software vulnerável e versões afetadas** Versões 1.5.0 a 1.5.6 do Roundcube Webmail Versões 1.6.0 a 1.6.6 do Roundcube Webmail **Descrição** A vulnerabilidade está relacionada a uma correção incompleta de um problema anterior e permite a injeção de comandos por meio de `im convert path` e `im identify path`. Isso pode permitir que um invasor remoto eleve seus privilégios. O problema existe devido à limpeza insuficiente de dados no nível de gerenciamento. **Recomendações** Para as versões 1.5.0 a 1.5.6 do Roundcube Webmail, atualize para a versão 1.5.7 ou posterior. Para as versões 1.6.0 a 1.6.6 do Roundcube Webmail, atualize para a versão 1.6.7 ou posterior. Como solução temporária, considere restringir o acesso às funções `im convert path` e `im identify path` até que um patch esteja disponível.

Nome do software vulnerável e versões afetadas: Versões do Roundcube Webmail anteriores à 1.5.7 e versões 1.6.x anteriores à 1.6.7 Descrição: O problema está relacionado a uma vulnerabilidade de cross-site scripting armazenada no software Roundcube Webmail, permitindo que um invasor execute código JavaScript na página do usuário. Essa vulnerabilidade pode ser explorada enviando-se um e-mail malicioso a um usuário, que então executa o código malicioso quando o e-mail é aberto. A vulnerabilidade é causada pela filtragem inadequada de tags SVG, especificamente os atributos `animate`. Estima-se que mais de 2,7 milhões de serviços estejam potencialmente afetados, e já ocorreram incidentes reais em que essa falha foi explorada para roubar credenciais e comprometer e-mails. Recomendações: Para versões anteriores à 1.5.7 e 1.6.x anteriores à 1.6.7, atualize para a versão 1.5.7 ou 1.6.7 ou posterior para resolver o problema. Como solução temporária, considere desativar o uso de elementos SVG em e-mails até que um patch seja aplicado. Restrinja o acesso ao software de webmail Roundcube vulnerável para minimizar o risco de exploração. Evite usar os atributos `animate` em elementos SVG em e-mails até que o problema seja resolvido.