Mansurzhan Mavlankulov

LearnHouse before 1.4.0 contains a missing authorization vulnerability in POST /api/v1/playgrounds/{uuid}/duplicate that skips the read-access and draft checks enforced by get playground. Authenticated users with playground creation rights, such as Instructors, who know a RESTRICTED or unpublished playground UUID can copy its html content and republish it publicly.

Telegram-Stremio through 5.1.0 contains a broken object-level authorization vulnerability that allows authenticated token holders to access arbitrary chat messages by forging unsigned, unauthenticated stream IDs decoded via encode string/decode string functions. Attackers can craft or enumerate sequential msg id values and set a global flag in the stream handler endpoint to route requests through the operator's personal Userbot account, exposing private channels, groups, and Saved Messages, while the unauthenticated thumb handler endpoint further discloses thumbnails from those same chats without any token validation.

Telegram-Stremio through 5.1.0 contains an insecure storage vulnerability that allows attackers with access to the MongoDB database, backups, or logs to recover the operator's authenticated Telegram session string, which is protected only by a keyless, reversible encoding transform rather than actual encryption. Attackers can round-trip the stored value through the repository's own decode string function with no secret key to obtain a fully authenticated Telegram session, granting complete control of the operator's Telegram account even when two-step verification is enabled.

**Nome do Software Vulnerável e Versões Afetadas** Lektor versão 3.3.14 Lektor versão 3.4.0b15 **Descrição** Um problema de cross-site request forgery (CSRF) existe no blueprint da API de administração. Isso permite que atacantes não autenticados executem ações de alteração de estado via requisições cross-origin devido à ausência de tokens CSRF, validação de Origin/Referer, configuração de CORS ou allowlisting de Host. Atacantes podem usar uma página web maliciosa para atingir os endpoints 'newattachment', 'deleterecord', 'build', 'clean' e 'publish' para gravar arquivos arbitrários, excluir páginas, apagar a saída de build e disparar a publicação de implantação. Adicionalmente, o DNS rebinding—uma técnica usada para ignorar a Same-Origin Policy—pode ser utilizado para acessar endpoints de leitura e expor dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Podgrab (versões afetadas não especificadas) **Descrição** Um problema de negação de serviço não autenticado existe devido ao acesso concorrente não sincronizado aos mapas compartilhados `activePlayers` e `allConnections` no manipulador de WebSocket. As goroutines `Wshandler` e `HandleWebsocketMessages` leem e escrevem nesses mapas sem o uso de um mutex, que é um primitivo de sincronização usado para evitar que múltiplas threads acessem dados compartilhados simultaneamente. Um invasor remoto pode desencadear uma corrida de dados (data race) do runtime do Go ao abrir múltiplas conexões WebSocket no endpoint '/ws' e enviar mensagens em loop, resultando no travamento do processo, o que exige a intervenção do operador para restaurar o serviço. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Podgrab (versões afetadas não especificadas) **Descrição** Existe uma falha de autenticação porque o endpoint WebSocket '/ws' está registrado no mecanismo root gin em vez do grupo de roteamento protegido por BasicAuth. Isso permite que clientes de rede não autenticados estabeleçam conexões mesmo quando uma `PASSWORD` está configurada. Um invasor pode ingressar no conjunto `allConnections` e capturar transmissões `PlayerExists` contendo identificadores de jogador fornecidos pelo cliente. Ao reproduzir esses identificadores em uma mensagem `RegisterPlayer`, o invasor pode sequestrar cargas de fila destinadas a usuários autenticados, resultando na exposição de IDs de episódios, títulos e caminhos de arquivos no servidor, além de potencialmente interromper a reprodução legítima. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** OpenSave versões anteriores a 2.4.0-beta.1 **Description** O OpenSave falha ao validar a identidade do remetente em solicitações de relay WAN. Isso permite que membros de salas não emparelhados se passem por dispositivos emparelhados ao falsificar o campo `From` dentro da `RelayMessage`. Atacantes que conheçam o código da sala podem ingressar na sessão, identificar identificadores de pares emparelhados por meio de anúncios e enviar solicitações forjadas para acessar rotas de sincronização protegidas, que incluem dados de salvamento, snapshots e operações de arquivo. **Recommendations** Atualize para a versão 2.4.0-beta.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OpenSave versões anteriores a 2.4.1 **Descrição** O manipulador de solicitações de manifesto não valida adequadamente os caminhos de salvamento fornecidos por pares emparelhados. Isso permite que invasores especifiquem diretórios arbitrários fora dos locais de salvamento configurados para ler e gravar arquivos por meio das rotas de manifesto e sincronização. **Recomendações** Atualize para uma versão posterior à 2.4.0.