Mitchell45

**Nome do Software Vulnerável e Versões Afetadas** Webkul Bagisto versões anteriores a 2.4.5 **Description** Existe um gerenciamento inadequado de privilégios no Backend Customer Behavior Data Endpoint, dentro do arquivo `/admin/customers`. Um invasor remoto pode manipular o argumento `ID` para ignorar os controles de acesso pretendidos. **Recommendations** Atualize para uma versão posterior à 2.4.4. Restrinja o acesso ao endpoint `/admin/customers` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Webkul Bagisto versões anteriores a 2.4.5 **Description** Um bypass de autorização existe no recurso Backend Customer Detail Feature no endpoint `/admin/customers/view`. Um invasor remoto pode explorar isso manipulando o argumento `ID`, permitindo o acesso não autorizado aos detalhes do cliente. **Recommendations** Atualize o Webkul Bagisto para a versão 2.4.5 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint `/admin/customers/view` apenas a usuários administrativos autorizados.

**Nome do Software Vulnerável e Versões Afetadas** Webkul Bagisto versões anteriores a 2.4.5 **Description** Um bypass de autorização existe no recurso Admin Customer Impersonation dentro do arquivo `/admin/customers/login-as-customer/`. Um invasor remoto pode explorar isso manipulando o argumento `ID`, permitindo a evasão dos controles de autorização. **Recommendations** Atualize o Webkul Bagisto para a versão 2.4.5 ou posterior. Como mitigação temporária, restrinja o acesso ao arquivo `/admin/customers/login-as-customer/`.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** Contas de funcionários com baixos privilégios podem realizar ações não autorizadas por meio de endpoints de API de administração. Este problema decorre da flag de módulo `can always access`, que concede a todos os funcionários acesso a módulos específicos, combinada com a manipulação insegura de parâmetros ou verificações de permissão insuficientes em endpoints individuais. **Recommendations** Atualize para a versão 0.8.0. Restrinja as contas de funcionários apenas àqueles que necessitam de acesso a configurações sensíveis. Use um proxy reverso ou WAF para restringir o acesso aos endpoints de API de administração afetados a endereços IP confiáveis ou funções de maior privilégio.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.3 through 0.7.2 **Description** Clientes autenticados podem ler e redefinir segredos de chaves de API de serviços para pedidos que não estejam em estado `active` (ativo), como `suspended` (suspenso) ou `canceled` (cancelado). Isso ocorre devido à falta de validação do estado do pedido nos endpoints de API `/api/client/order/service` e `/api/client/serviceapikey/reset`, apesar de o módulo `Serviceapikey` possuir um auxiliar `isActive()` e a interface do usuário restringir o acesso com base na variável `order.status`. **Recommendations** Atualize para a versão 0.8.0. Desinstale o módulo `Serviceapikey` caso não seja necessário para remover os endpoints afetados. Utilize um proxy reverso ou WAF para restringir o acesso aos endpoints `/api/client/order/service` e `/api/client/serviceapikey/reset` com base na lógica de estado do pedido no nível da aplicação.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** Uma conta de equipe com baixos privilégios pode conceder permissões de módulo arbitrárias a si mesma, resultando em escalonamento de privilégios persistente. Um usuário que possua a permissão `staff.create and edit staff` pode chamar o endpoint `/api/admin/staff/permissions update` direcionando para sua própria conta e gravar qualquer estrutura de permissão, ignorando o limite de controle de acesso baseado em função. **Recommendations** Atualizar para a versão 0.8.0. Restringir a permissão `staff.create and edit staff` apenas a membros da equipe altamente confiáveis. Utilizar um proxy reverso ou WAF para restringir o acesso ao endpoint `/api/admin/staff/permissions update` a funções confiáveis específicas.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Descrição** Contas de funcionários com baixos privilégios podem ler dados sensíveis por meio de endpoints de API de administração que carecem de verificações de permissão adequadas. Embora os endpoints de escrita apliquem permissões detalhadas, os endpoints de leitura correspondentes não possuem guardas de autorização. **Recomendações** Atualize para a versão 0.8.0. Restrinja as contas de funcionários apenas àqueles que necessitam de acesso a dados sensíveis. Use um proxy reverso ou WAF para restringir o acesso aos endpoints de API de administração afetados.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.6 through 0.7.2 **Description** Quando a configuração Require Email Confirmation está ativada, um cliente autenticado com um endereço de e-mail não verificado, indicado pela variável `email approved = 0`, pode ignorar a aplicação de regras no lado da página. Isso permite que o usuário acesse todas as páginas da área do cliente, como os endpoints `/client/balance`, `/client/order/list` e `/client/invoice`, e leia dados sensíveis da conta, incluindo saldos de carteira e histórico de transações. Embora a API restrinja corretamente clientes não verificados a endpoints relacionados ao perfil, a aplicação no lado da página é excessivamente permissiva para qualquer caminho de solicitação que comece com `/client`. **Recommendations** Atualize o FOSSBilling para a versão 0.8.0.

**Nome do Software Vulnerável e Versões Afetadas** Kimai versões anteriores a 2.57.0 **Description** Um problema de autorização inadequada existe nos endpoints utilizados para adicionar e remover folhas de ponto favoritas. Isso permite que usuários autenticados manipulem favoritos pertencentes a outros usuários ao referenciar um identificador de folha de ponto específico, resultando em adulteração do estado de negócio entre usuários sem a necessidade de privilégios administrativos. **Recommendations** Atualize para a versão 2.57.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** DevaslanPHP project-management versões anteriores a 2.0.0-beta1 **Description** Um problema de autorização inadequada existe no componente Livewire Handler. Um invasor remoto pode manipular as funções `editComment()` e `doDeleteComment()` dentro do arquivo `app/Filament/Resources/TicketResource/Pages/ViewTicket.php` para obter acesso não autorizado ou realizar ações não autorizadas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso às funções `editComment()` e `doDeleteComment()` no arquivo `app/Filament/Resources/TicketResource/Pages/ViewTicket.php`.

**Nome do Software Vulnerável e Versões Afetadas** Bottelet DaybydayCRM versões anteriores a 2.2.2 **Description** Um problema de autorização inadequada existe e pode ser explorado remotamente. A falha está localizada na função `view()` do arquivo `app/Http/Controllers/DocumentsController.php`. **Recommendations** Aplique a correção de segurança para versões anteriores a 2.2.2. Como medida de mitigação temporária, restrinja o acesso à função `view()` no arquivo `app/Http/Controllers/DocumentsController.php`.

**Nome do Software Vulnerável e Versões Afetadas** EspoCRM versões anteriores a 9.3.5 **Description** Uma falha de lógica de negócio envolvendo controle de acesso quebrado permite que usuários com baixos privilégios fixem notas arbitrárias sem as permissões de edição necessárias para o objeto pai. Isso ocorre devido a uma falha de execução de escrita primeiro e autorização depois na API de backend, onde o servidor modifica o status de fixação no banco de dados antes de concluir a autorização, apesar de retornar um erro 403 Forbidden. O problema está localizado no processamento do lado do servidor do endpoint 'POST /api/v1/Note/{id}/pin', especificamente no método `process()` em application/Espo/Tools/Stream/Api/PostNotePin.php, que chama `getNote($id)` antes de `checkParent($note)`. **Recommendations** Atualizar para a versão 9.3.5.