Novee

**Nome do Software Vulnerável e Versões Afetadas** Claude Code versões 0.2.54 até 2.1.162 **Description** O Claude Code, uma ferramenta de codificação agentica, apresenta um problema onde o hostname `huggingface.co` era pré-aprovado para a ferramenta WebFetch. Isso permitia que qualquer caminho nesse domínio, incluindo repositórios de modelos controlados por atacantes, fosse aprovado automaticamente sem a necessidade de um prompt de permissão ou de estar sujeito às restrições do `--allowedTools`. Um atacante capaz de injetar conteúdo não confiável na janela de contexto da ferramenta poderia direcioná-la a emitir requisições WebFetch para arquivos de repositório controlados pelo atacante, como `/resolve/main/config.json`. Como o HuggingFace contabiliza essas requisições como downloads no lado do servidor, isso cria um canal covert out-of-band para exfiltrar dados sensíveis acessíveis à ferramenta, como arquivos, variáveis de ambiente ou saída de comandos. Isso poderia potencialmente levar à execução remota de código (RCE). **Recommendations** Atualize o Claude Code para a versão 2.1.163 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Foxit PDF Editor Cloud versions prior to 2026-02-03 **Description** Foxit PDF Editor Cloud (pdfonline) contains a stored cross-site scripting issue in the file upload feature. A malicious username is embedded into the upload file list without proper escaping, allowing arbitrary JavaScript execution when the list is displayed. The issue is due to improper neutralization of input during web page generation. Attackers can upload a file with a malicious JavaScript payload embedded in the username field, persisting the payload in upload metadata and triggering execution when other users open shared document lists. This could lead to session token theft, account takeover, credential harvesting, and unauthorized changes to document sharing. **Recommendations** Foxit PDF Editor Cloud versions prior to 2026-02-03 should be updated to version 2026-02-03 or later. Force global session invalidation and require user reauthentication. Audit historical uploads for suspicious username values containing script or HTML payloads. Monitor logs for abnormal uploads and unexpected outbound browser requests.

**Name of the Vulnerable Software and Affected Versions** Foxit PDF Editor Cloud (pdfonline) versions prior to 2026-02-03 **Description** Foxit PDF Editor Cloud (pdfonline) has a stored cross-site scripting issue in the Create New Layer feature. The application embeds unsanitized user input into the HTML output, which can lead to arbitrary JavaScript execution when the layer is referenced. **Recommendations** Update Foxit PDF Editor Cloud (pdfonline) to a version released on or after 2026-02-03.

**Name of the Vulnerable Software and Affected Versions** na1.foxitesign.foxit.com versions prior to 2026-01-16 **Description** The software embeds URL parameters directly into JavaScript code and HTML attributes without proper encoding or sanitization. This allows attackers to inject arbitrary scripts when an authenticated user visits a specially crafted link. **Recommendations** Update to a version prior to 2026-01-16.

**Nome do Software Vulnerável e Versões Afetadas** Foxit PDF Editor Cloud (pdfonline.foxit.com) (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade Portfolio. O aplicativo não sanitiza ou valida corretamente os arquivos SVG fornecidos pelos usuários antes de incorporá-los à estrutura HTML. Isso permite que HTML ou JavaScript malicioso embutido em um arquivo SVG manipulado seja executado quando a lista de arquivos do Portfolio é exibida. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Foxit WebPlugins (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado devido à falha na validação da origem da mensagem dentro de um manipulador postMessage. Especificamente, o `externalPath` é atribuído diretamente a uma origem de script sem a devida validação, permitindo que um atacante execute código JavaScript arbitrário quando um postMessage especialmente elaborado é recebido. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Foxit PDF Editor Cloud (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de IDs Digitais. O aplicativo não sanitiza ou codifica corretamente o campo Common Name dos IDs Digitais antes de inserir conteúdo fornecido pelo usuário no Document Object Model (DOM). Isso permite a execução de HTML ou JavaScript incorporados quando a caixa de diálogo de IDs Digitais é acessada ou quando o PDF afetado é carregado. O componente vulnerável envolve a manipulação de IDs Digitais e a inserção de conteúdo fornecido pelo usuário no DOM. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Foxit PDF Online (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de Certificados Confiáveis de pdfonline.foxit.com. Um payload malicioso pode ser injetado como o nome do certificado. Este script injetado é executado sempre que a visualização de Certificados Confiáveis é carregada, pois os dados são renderizados no Document Object Model (DOM) sem sanitização suficiente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Foxit eSign (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de Texto Predefinido da seção Foxit eSign dentro de pdfonline.foxit.com. Uma carga maliciosa (payload) pode ser armazenada através do campo "First Name" da Identidade. O script injetado é renderizado no Document Object Model (DOM) sem sanitização adequada, o que pode levar à execução do script quando o texto predefinido é utilizado ou quando as propriedades do documento são visualizadas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Foxit PDF Online (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) armazenado na funcionalidade de Modelos de Página (Page Templates) de pdfonline.foxit.com. Um payload malicioso pode ser armazenado como nome do modelo. Este payload é então renderizado no Document Object Model (DOM) sem sanitização suficiente, levando à execução de script sempre que o documento PDF afetado é carregado. A vulnerabilidade envolve o armazenamento de um payload elaborado, que é então executado. A área afetada é a funcionalidade de Modelos de Página. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** pdfonline.foxit.com (versões afetadas não especificadas) **Descrição** Uma vulnerabilidade de cross-site scripting (XSS) armazenado existe na funcionalidade de Importação de Camadas do pdfonline.foxit.com. Um payload malicioso pode ser injetado no campo "Create new Layer" durante a importação de camadas. O script injetado é renderizado no Document Object Model (DOM) sem a devida sanitização e é executado quando o painel de Camadas é acessado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.