Omri Inbar

NuBrowser lacks protocol whitelist validation for the S.browser fallback url field of intent://, allowing attackers to inject javascript: URLs via 302 redirects. This results in a universal cross‑site scripting (UXSS) vulnerability that enables script execution within the origin of arbitrary websites.

**Nome do Software Vulnerável e Versões Afetadas** Samsung WLAN AP WEA453e versões anteriores à 5.2.4.T1 **Descrição** Existe uma vulnerabilidade de execução remota de comandos não autenticada devido à validação de entrada inadequada na funcionalidade de diagnóstico "Tech Support". Os parâmetros POST ou GET `command1` e `command2` aceitam comandos de shell arbitrários que são executados com privilégios de root. Um atacante pode explorar essa falha elaborando uma requisição para injetar comandos de shell, criar arquivos de saída em diretórios com permissão de escrita e, em seguida, acessar seu conteúdo através do endpoint de download, resultando no comprometimento completo do dispositivo sem necessidade de autenticação. **Recomendações** Atualize para a versão 5.2.4.T1 ou posterior.

**Nome do software vulnerável e versões afetadas** Todas as versões do SVI MS Management System **Descrição** O problema está relacionado à deserialização insegura de conteúdo fornecido pelo usuário na Java Remote Management Interface, permitindo que invasores executem código arbitrário por meio de um objeto Java serializado especialmente criado. Isso pode ser explorado por um invasor remoto. **Recomendações** Para todas as versões, considere desativar a Java Remote Management Interface até que um patch esteja disponível para impedir a exploração. Restrinja o acesso à interface para minimizar o risco de execução de código arbitrário. Evite usar conteúdo fornecido pelo usuário na interface até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Roteadores Totolink N200RE e N100RE, versão 2.0 **Descrição** Uma vulnerabilidade de script entre sites (XSS) na página de erro dos roteadores permite que invasores executem scripts da Web ou HTML arbitrários por meio do elemento SCRIPT. **Recomendações** Para os roteadores Totolink N200RE e N100RE versão 2.0, considere desativar a página de erro ou restringir o acesso a ela até que uma correção esteja disponível. Evite usar o elemento SCRIPT na página de erro para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Xtend Voice Logger versão 1.0 **Descrição** Uma vulnerabilidade de cross-site scripting (XSS) refletido permite que invasores executem scripts da Web ou HTML arbitrários por meio da página de erro. Isso pode potencialmente levar a ações não autorizadas no sistema afetado. **Recomendações** Para o Xtend Voice Logger versão 1.0, considere desativar a página de erro ou restringir o acesso a ela até que uma correção esteja disponível. Como solução temporária, evite usar a funcionalidade da página de erro para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Webuzo anteriores à 2.9.0 **Descrição** Existe uma vulnerabilidade de Cross Site Scripting (XSS) no painel de administração do Webuzo, provocada por uma solicitação HTTP a uma página inexistente. Isso ocorre quando os administradores acessam a página “Registro de erros”. Um invasor pode explorar essa vulnerabilidade para obter execução remota de código sem autenticação por meio da funcionalidade “Tarefas Cron”. **Recomendações** Para versões anteriores à 2.9.0, atualize para a versão 2.9.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à página “Log de erros” e à funcionalidade “Tarefas Cron” para minimizar o risco de exploração.