Nbxiglk

Existe um problema de injeção de script malicioso na web-api (REST) do Apache Geode. Um atacante pode induzir um usuário autenticado a clicar em um link especialmente criado, levando à execução de código na página retornada. Isso pode resultar no roubo das informações de sessão do usuário e na possível tomada de controle da conta. A vulnerabilidade afeta a API REST.

Nome do Software Vulnerável e Versões Afetadas: Versões do Apache IoTDB de 1.0.0 a 1.3.3 Descrição: O problema está relacionado a uma vulnerabilidade de Execução Remota de Código com URI não confiável de UDF no Apache IoTDB. Um invasor com privilégio para criar UDF pode registrar uma função maliciosa a partir de uma URI não confiável. Recomendações: Para as versões do Apache IoTDB de 1.0.0 a 1.3.3, atualize para a versão 1.3.4, que corrige o problema. Como medida de contorno temporária, considere restringir a criação de UDFs a fontes confiáveis até que a atualização seja aplicada.

O problema está relacionado ao controle inadequado da geração de código, permitindo que um invasor injete configurações confidenciais ou código malicioso ao se conectar a um banco de dados MySQL por meio de um driver JDBC.

O problema diz respeito a uma vulnerabilidade de validação inadequada de entradas, permitindo que um usuário autenticado execute código JavaScript arbitrário e fora do ambiente sandbox no servidor. Isso pode levar à execução arbitrária de código JavaScript com privilégios de root por usuários autenticados.

The issue is related to an Authorization Bypass Through User-Controlled Key vulnerability. This vulnerability allows some sensitive parameter checks to be bypassed, including `autoDeserizalize` and `allowLoadLocalInfile`.

The issue is related to a Server-Side Request Forgery (SSRF) vulnerability in Apache XML Graphics Batik. This vulnerability can be exploited by a malicious SVG, which could trigger the loading of external resources by default, causing resource consumption or, in some cases, information disclosure.

The issue is related to the Remote Resource Handler component of Apache NiFi, which is associated with incorrect code generation management. This can allow a remote attacker to execute arbitrary code. The vulnerability is exploited when an authenticated and authorized user configures a location that enables custom code execution, using HTTP URL references for retrieving drivers in Processors and Controller Services.

A vulnerabilidade permite um ataque de execução remota de código (RCE) quando uma configuração utiliza uma fonte JMS com um providerURL não seguro. Isso ocorre porque a classe JMSSource é configurada com um parâmetro `providerUrl`, que realiza uma pesquisa JNDI sem validação, podendo levar à desserialização de dados não confiáveis.