Maguire Younes

**Nome do Software Vulnerável e Versões Afetadas** VSee Clinic versão 7.1.26 VSee Clinic API versão 1.3.0 **Description** Três endpoints não autenticados expõem credenciais SFTP em texto claro em suas respostas HTTP. Isso ocorre apenas quando conexões SFTP foram configuradas no aplicativo. Um invasor remoto não autenticado pode recuperar essas credenciais sem autenticação para obter acesso ao servidor SFTP associado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** VSee Clinic versão 7.1.26 VSee API versão 1.3.0 **Descrição** Ocorre uma Referência Direta Insegura a Objetos (IDOR) no endpoint '/v1.3.0/api/files'. Um invasor autenticado pode manipular o parâmetro de requisição `remark` para enumerar, recuperar e excluir arquivos pertencentes a outros usuários no servidor da aplicação. IDOR é um tipo de falha de controle de acesso onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Evite usar o parâmetro `remark` no endpoint '/v1.3.0/api/files' até que o problema seja resolvido.