P-

O endpoint 'spreadsheet-import' `axiosRequestMake` poderia ser utilizado como um proxy HTTP genérico. O endpoint estava acessível sem autenticação, e sua lista de permissões de extensão de URL utilizava uma expressão regular testada contra a string completa da URL. Isso permitia que atacantes burlassem a restrição anexando `.csv` à string de consulta, permitindo que o processo NocoDB emitisse requisições HTTP para destinos arbitrários, incluindo serviços internos acessíveis a partir do host.

Existe uma falha de bypass de autorização onde pontos e vírgulas usados como parâmetros de matriz em requisições HTTP podem burlar restrições de segurança, potencialmente concedendo acesso não autorizado a recursos protegidos. Usuários não autenticados ou com privilégios reduzidos podem ignorar políticas de autorização baseadas em caminhos HTTP ao anexar um ponto e vírgula (`;`) e texto arbitrário à URL da requisição. Isso ocorre devido a uma inconsistência na normalização do caminho: a camada de segurança realiza verificações de autorização no caminho da URL bruta, enquanto a camada de roteamento do RESTEasy Reactive remove os parâmetros de matriz antes de corresponder aos endpoints. Consequentemente, uma requisição para um endpoint como "/api/admin;anything" pode burlar as políticas que protegem "/api/admin", mas ainda assim ser roteada para esse endpoint protegido.

Name of the Vulnerable Software and Affected Versions Frappe versões anteriores a 16.14.0 e 15.104.0 Description Frappe, um framework de aplicação web full-stack, permite acesso irrestrito ao Doctype através de uma exploração da API. Recommendations Atualize para a versão 16.14.0 ou posterior. Atualize para a versão 15.104.0 ou posterior.

Sentry is a developer-first error tracking and performance monitoring tool. Versions prior to 26.1.0 have a cross-organization Insecure Direct Object Reference (IDOR) issue in the `GroupEventJsonView` endpoint. An Insecure Direct Object Reference occurs when an application uses user-supplied input to directly access objects, potentially allowing unauthorized access to data.

O Sylius, um Framework de Comércio Eletrônico de Código Aberto baseado no Symfony, contém uma vulnerabilidade de Referência Direta Insegura a Objetos (IDOR) autenticada em vários LiveComponents da loja. Isso ocorre devido à aceitação de IDs de recursos não validados por meio dos parâmetros #[LiveArg]. Ações que aceitam IDs de recursos por meio de #[LiveArg] e os carregam com ->find() sem validação de propriedade são afetadas. Especificamente, a ação `addressFieldUpdated` do FormComponent de endereço do Checkout aceita um `addressId` por meio de #[LiveArg], potencialmente expondo informações pessoais de outro usuário, incluindo nome, sobrenome, empresa, número de telefone, rua, cidade, código postal e país. As ações `refreshCart` do WidgetComponent do Carrinho e do Componente de Resumo do Carrinho aceitam um `cartId` por meio de #[LiveArg], permitindo acesso direto a dados do pedido, como total do pedido, quantidade de itens, subtotal, desconto, custo de envio, impostos e total do pedido. Como a tabela sylius order contém tanto carrinhos ativos quanto pedidos concluídos no mesmo espaço de IDs, a vulnerabilidade IDOR de carrinho pode expor dados de todos os pedidos.

O Rocket.Chat é uma plataforma de comunicação. Existe um problema crítico no serviço de conta dentro do microsserviço ddp-streamer que permite a um atacante autenticar-se como qualquer usuário com uma senha definida, usando uma senha arbitrária. Isso se deve à ausência da palavra-chave 'await' ao validar senhas de forma assíncrona, resultando em um objeto Promise sendo incorretamente avaliado como uma autenticação bem-sucedida. Isso poderia levar à tomada de conta se um nome de usuário for conhecido ou puder ser adivinhado.

O Rocket.Chat é uma plataforma de comunicação. Existem problemas de autenticação no serviço DDP Streamer empresarial. O método `Account.login`, exposto através do DDP Streamer, não exige Autenticação de Dois Fatores (2FA) nem valida o status da conta do usuário, permitindo que usuários desativados façam login. Essas verificações são normalmente exigidas no processo de login padrão do Meteor.

O Rocket.Chat é uma plataforma de comunicação. Existe uma vulnerabilidade de injeção NoSQL no serviço de contas dentro do microsserviço ddp-streamer. Isso permite que atacantes não autenticados manipulem consultas MongoDB durante a autenticação. O problema está presente no fluxo de login baseado em nome de usuário, no qual a entrada fornecida pelo usuário é incorporada diretamente a um seletor de consulta MongoDB sem validação adequada. Um atacante pode injetar expressões de operadores MongoDB, como `{ $regex: '.*' }`, no lugar de um nome de usuário, fazendo com que a consulta do banco de dados corresponda a registros de usuários não pretendidos. A vulnerabilidade afeta o serviço ddp-streamer.

Nome do Software Vulnerável e Versões Afetadas Versões do NocoDB anteriores a 0.301.3 Descrição O NocoDB é um software para criar bancos de dados em formato de planilhas. Antes da versão 0.301.3, o conteúdo de células de texto rico renderizado via `v-html` sem sanitização permite a ocorrência de cross-site scripting armazenado (XSS). O problema ocorre porque o conteúdo é renderizado sem sanitização adequada, o que pode permitir a execução de scripts maliciosos. Recomendações Atualize para a versão 0.301.3 ou posterior.

O NocoDB é um software para criar bancos de dados como planilhas. Nas versões anteriores à 0.301.3, comentários renderizados via `v-html` sem sanitização permitem Cross-Site Scripting (XSS) armazenado. Isso permite a injeção de scripts maliciosos nos comentários, os quais são executados quando outros usuários visualizam esses comentários. A diretiva `v-html` contorna a codificação HTML padrão, possibilitando que atacantes executem código JavaScript arbitrário no contexto da aplicação.

Existe uma vulnerabilidade IDOR no fluxo de checkout para convidados do Spree Commerce. Isso permite que um usuário convidado manipule parâmetros de ID de endereço e vincule endereços arbitrários de convidados ao seu pedido. Isso possibilita o acesso não autorizado às informações pessoalmente identificáveis (PII) de outros convidados, incluindo nomes, endereços e números de telefone. O problema contorna as verificações de validação de propriedade existentes e afeta todas as transações de checkout para convidados. A vulnerabilidade origina-se de uma validação de autorização incompleta na lógica de atribuição de endereço de checkout do Spree, especificamente na forma como parâmetros de ID simples (`bill address id` e `ship address id`) são manipulados sem a devida validação. A lógica de atribuição vulnerável reside nos setters `bill address id=` e `ship address id=` dentro do modelo `spree/order/address book.rb`. Esses setters verificam se `address.user id == order.user id`, o que avalia como verdadeiro para pedidos de convidados (nil == nil), contornando efetivamente a verificação de segurança pretendida. Os atributos permitidos em `spree/permitted attributes.rb` permitem `bill address id` e `ship address id` sem validação, e o processo de atualização do checkout em `spree/order/checkout.rb` aplica esses parâmetros diretamente ao modelo Order.

O Spree, uma solução de comércio eletrônico de código aberto, contém uma falha na qual usuários não autenticados podem visualizar pedidos de convidados concluídos usando o ID do pedido. Isso pode levar à divulgação de Informações Pessoalmente Identificáveis (PII) de usuários convidados, incluindo nomes, endereços e números de telefone. O problema se deve à ação `OrdersController#show`, que permite a consulta do pedido por número sem exigir o token associado ao pedido. A função `authorize access` não aplica corretamente a autorização para pedidos de convidados. Um atacante com um ID de pedido vazado, ou por meio de força bruta, pode acessar os detalhes do pedido por meio do endpoint da API `/orders/{id}`. Os IDs dos pedidos são gerados de forma segura, mas possuem entropia relativamente baixa, o que pode tornar viáveis ataques de força bruta.

Um redirecionamento não validado, especificamente um redirecionamento aberto, existe no fluxo de login do NocoDB devido à validação insuficiente do parâmetro `continueAfterSignIn`. Durante a autenticação, o NocoDB processa um valor de redirecionamento controlado pelo usuário e navega para a URL especificada sem restrições à sua origem, domínio ou protocolo. Isso permite que atacantes redirecionem usuários autenticados para sites externos arbitrários após o login, possivelmente habilitando ataques de phishing ao explorar a confiança do usuário no processo legítimo de login do NocoDB. O problema não permite a execução arbitrária de código ou elevação de privilégio, mas compromete a integridade da autenticação. O componente vulnerável utiliza uma expressão regular `^(https?:)?///` para validar URLs, o que permite qualquer URL HTTP(S) e URLs relativas ao protocolo. A função `navigateTo()` então realiza o redirecionamento com base nessa validação. Um atacante pode criar uma URL de login maliciosa contendo um destino de redirecionamento controlado, como `https://victim-nocodb.example/#/signin?continueAfterSignIn=https://evil-phishing.com/fake-login`, para redirecionar usuários para um site de phishing após a autenticação bem-sucedida.

O NocoDB possui uma vulnerabilidade de cross-site scripting (XSS) armazenado na manipulação de seus anexos. Usuários autenticados podem fazer upload de arquivos SVG maliciosos contendo JavaScript incorporado. Esses arquivos são renderizados inline e executados nos navegadores de outros usuários que visualizam o anexo. A causa raiz são verificações de tipo MIME excessivamente permissivas e a falta de sanitização de conteúdo ao servir arquivos SVG. Especificamente, a função `isPreviewAllowed` em `attachmentHelpers.ts` utiliza uma verificação baseada em substring que classifica incorretamente arquivos SVG como seguros para visualização. O endpoint `fileReadv3` em `attachments.controller.ts` serve esses arquivos sem sanitização ou imposição de tipo de conteúdo, permitindo que navegadores executem o JavaScript incorporado sob a origem da aplicação NocoDB. A exploração bem-sucedida pode levar ao comprometimento de conta, exfiltração de dados e ações não autorizadas realizadas em nome dos usuários afetados.

Nome do Software Vulnerável e Versões Afetadas: HomeAssistant-Tapo-Control versões anteriores ao commit 2a3b80f Descrição: O HomeAssistant-Tapo-Control, um componente que oferece controle para câmeras Tapo dentro do Home Assistant, continha uma vulnerabilidade de injeção de código no workflow do GitHub Actions localizado em `.github/workflows/issues.yml`. A vulnerabilidade decorreu da inserção direta de conteúdo controlado pelo usuário, proveniente do corpo da issue (`github.event.issue.body`), em um condicional Bash sem a devida sanitização. Isso permitiu que um usuário malicioso do GitHub elaborasse um corpo de issue capaz de executar comandos arbitrários no runner do GitHub Actions com privilégios elevados durante a criação da issue. O impacto limita-se ao ambiente de CI/CD do repositório, podendo expor potencialmente o conteúdo do repositório ou secrets do GitHub Actions. Recomendações: Desabilite o workflow afetado (`issues.yml`). Substitua a comparação Bash insegura por um grep seguro entre aspas ou por uma verificação de expressão pura do GitHub Actions. Garanta permissões mínimas nos workflows (permissions: block) para reduzir o impacto potencial.

Nome do Software Vulnerável e Versões Afetadas: Versões do OpenKilda anteriores à 1.164.0 Descrição: O OpenKilda, um controlador OpenFlow de código aberto, contém uma vulnerabilidade de injeção de entidade externa XML (XXE). Esta vulnerabilidade, em combinação com a GHSL-2025-024, permite que atacantes não autenticados exfiltrem informações da instância onde a UI do OpenKilda está em execução, potencialmente levando à divulgação de informações. Recomendações: Atualize para a versão 1.164.0 ou posterior.

A funcionalidade de login do Umbrel contém uma vulnerabilidade de cross-site scripting (XSS) refletida no arquivo `use-auth.tsx`. Um invasor pode especificar um parâmetro de consulta `redirect` malicioso para acionar a vulnerabilidade. Se uma URL JavaScript for passada para o parâmetro `redirect`, o JavaScript fornecido pelo invasor será executado após o usuário digitar sua senha e clicar em “login”.

O OpenC3 COSMOS armazena a senha de um usuário sem criptografia no LocalStorage de um navegador da web. Isso torna a senha do usuário suscetível a exfiltração por meio de Cross-site scripting. O problema pode levar à divulgação de informações. Isso afeta apenas a edição Open Source, e não a OpenC3 COSMOS Enterprise Edition.

A funcionalidade de login do OpenC3 COSMOS contém uma vulnerabilidade de cross-site scripting (XSS) refletido. Esse problema pode levar à execução remota de código (RCE). A vulnerabilidade afeta a Open Source Edition, não a OpenC3 COSMOS Enterprise Edition.

Uma vulnerabilidade de traversal de caminho dentro do método `open local file` do `LocalMode` permite que um usuário autenticado com permissões adequadas baixe qualquer arquivo `.txt` por meio do `ScreensController#show` no servidor web em que o COSMOS está sendo executado, dependendo das permissões do arquivo. Esse problema pode levar à divulgação de informações.