Nov

**Nome do Software Vulnerável e Versões Afetadas** agentejo Cockpit CMS versões anteriores a 0.12.3 **Description** Um problema de path traversal existe no componente htaccess Handler. A função `Spyc::YAMLLoad()` processa o arquivo `/config/config.yaml` de forma que permite que atacantes remotos tornem arquivos ou diretórios acessíveis. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web. **Recommendations** Atualize o agentejo Cockpit CMS para uma versão posterior a 0.12.2. Altere as configurações de configuração para mitigar o risco. Restrinja o acesso ao arquivo `/config/config.yaml`.

**Nome do Software Vulnerável e Versões Afetadas** Karaz Karazal até 2025-04-14 **Descrição** O problema permite XSS refletido via o parâmetro `lang` na URI padrão. Isso pode levar à neutralização inadequada de entrada durante a geração da página web, também conhecida como cross-site scripting. **Recomendações** Para o Karaz Karazal até 2025-04-14, como solução temporária, considere restringir o acesso à URI padrão ou desabilitar o uso do parâmetro `lang` até que um patch esteja disponível. Evite usar o parâmetro `lang` na URI afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** json-jwt gem versions prior to 1.11.0 **Description** The issue is related to the json-jwt gem for Ruby, where it lacks an element count during the splitting of a JWE string. This lack of element count can lead to potential security issues. **Recommendations** For versions prior to 1.11.0, update to version 1.11.0 or later to resolve the issue. As a temporary workaround, consider restricting the use of JWE strings until the update is applied.