Muhammaddaffa

An authorization bypass in Nexus Repository 3's component upload API allowed a user with only read/browse privileges on a Swift, Terraform, or Conda hosted repository to upload arbitrary artifacts, bypassing the intended write-permission check.

**Nome do Software Vulnerável e Versões Afetadas** Node.js versões 22.x Node.js versões 24.x Node.js versões 26.x **Description** Uma falha na Permission API do Node.js permite que metadados de arquivos sejam modificados mesmo quando um caminho é configurado como somente leitura, como ao usar a flag `--allow-fs-read`. **Recommendations** Atualize o Node.js 22.x para a versão corrigida mais recente. Atualize o Node.js 24.x para a versão corrigida mais recente. Atualize o Node.js 26.x para a versão 26.3.1-1.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** MongoDB (versões afetadas não especificadas) **Description** Ocorre uma falha no servidor ao utilizar `$changestreams` e `$ requestReshardingResumeToken` com a opção de troca (exchange). Este problema é desencadeado quando o servidor atinge um invariante, podendo ser executado por qualquer usuário autenticado, sem a necessidade de privilégios especiais. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** O nome do produto não pôde ser determinado (versões afetadas não especificadas) **Descrição** Um usuário autorizado pode causar a queda do servidor ao executar uma consulta usando um índice 2dsphere em um campo que contém um GeometryCollection do GeoJSON. O problema ocorre quando a coleção inclui um Polygon com um Sistema de Referência de Coordenadas (CRS) de enrolamento estrito (strict-winding). Embora polígonos de enrolamento estrito não sejam suportados para indexação, o sistema falha ao inspecionar membros dentro de um GeometryCollection, levando a uma desreferência de ponteiro nulo (null-pointer dereference), que é uma tentativa de acessar um local de memória que não existe. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.