Partywave

**Nome do Software Vulnerável e Versões Afetadas** OpenClinic GA versão 5.351.19 **Descrição** Um problema de cross-site scripting refletido existe no manipulador de upload de imagens DICOM. Atacantes podem executar JavaScript arbitrário no navegador de uma vítima ao incorporar payloads maliciosos em campos de metadados de arquivos DICOM, como `Study Description`. Esses payloads são refletidos sem sanitização em 'popup.jsp' e 'archiving/uploadfiles jsp.java' quando processados através do recurso de Upload de imagens DICOM. Esta falha pode ser encadeada para alcançar a execução remota de código (RCE), que é a capacidade de executar comandos arbitrários em uma máquina alvo. **Recomendações** Como medida paliativa temporária, restrinja o acesso ao recurso de Upload de imagens DICOM ou evite fazer o upload de arquivos DICOM de fontes não confiáveis até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Weasis versão 4.5.1 **Descrição** O problema diz respeito a uma chave codificada de forma rígida para a criptografia simétrica de credenciais de proxy no arquivo `ui/pref/ProxyPrefView.java`, localizado no componente weasis-core do Weasis. Essa chave codificada de forma rígida é utilizada para a criptografia simétrica das credenciais de proxy. **Recomendações** Para a versão 4.5.1 do Weasis, considere desativar a criptografia simétrica das credenciais de proxy até que um patch esteja disponível para corrigir o problema da chave codificada. Restrinja o acesso ao arquivo `ui/pref/ProxyPrefView.java` para minimizar o risco de exploração. Evite usar a chave codificada para a criptografia simétrica das credenciais de proxy no componente afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.