Paul Irwin

**Nome do Software Vulnerável e Versões Afetadas** Apache Lucene.Net.Replicator versões 4.8.0-beta00005 até 4.8.0-beta00017 **Description** Um problema de path traversal existe na biblioteca Lucene.Net.Replicator devido à validação e sanitização inadequadas de caminhos do sistema de arquivos. Isso permite que sequências de travessia escapem do caminho base pretendido, possivelmente permitindo acesso não autorizado de leitura ou gravação de arquivos fora dos diretórios de replicação. Isso pode levar ao vazamento de dados sensíveis, adulteração de artefatos de índice replicados ou comprometimento do serviço se um invasor puder fornecer valores de caminho manipulados para APIs ou endpoints relacionados à replicação que passem entradas controladas pelo usuário para operações de arquivo. **Recommendations** Atualizar para a versão 4.8.0-beta00018.

**Nome do Software Vulnerável e Versões Afetadas** Apache Lucene.Net.Analysis.Common versões 4.8.0-beta00005 até 4.8.0-beta00017 **Descrição** Restrição inadequada de Referência a Entidade Externa XML (XXE) na biblioteca Lucene.Net.Analysis.Common, especificamente no PatternParser. XXE é um tipo de ataque em que uma aplicação processa a entrada XML contendo uma referência a uma entidade externa, permitindo potencialmente que um invasor visualize arquivos no servidor ou realize a falsificação de requisição do lado do servidor (SSRF). **Recomendações** Atualizar o Apache Lucene.Net.Analysis.Common para a versão 4.8.0-beta00018.

**Nome do Software Vulnerável e Versões Afetadas** Apache Lucene.Net.Replicator versões 4.8.0-beta00005 through 4.8.0-beta00017 **Description** Um problema de Path Traversal existe na biblioteca Lucene.Net.Replicator, que permite que um usuário não autenticado realize a leitura arbitrária de arquivos no servidor de replicação. Path Traversal é uma falha que permite a um invasor acessar arquivos e diretórios armazenados fora da pasta raiz da web ao manipular variáveis que influenciam o caminho de um arquivo ou diretório. **Recommendations** Atualizar para a versão 4.8.0-beta00018.

Nome do software vulnerável e versões afetadas: Versões do Apache Lucene de 4.4.0 a 9.11.0 Descrição: O problema está relacionado à desserialização de dados não confiáveis no Apache Lucene Replicator. Ele afeta o pacote obsoleto org.apache.lucene.replicator.http, mas não o pacote org.apache.lucene.replicator.nrt. A desserialização só pode ser acionada se os usuários implantarem ativamente uma implementação acessível pela rede e um cliente correspondente usando uma biblioteca HTTP que utilize a API. Recomendações: Para as versões 4.4.0 a 9.11.0, atualize para a versão 9.12.0 para corrigir o problema. Como solução alternativa temporária, considere usar filtros de serialização Java, como `-Djdk.serialFilter=‘!*’` na linha de comando, para mitigar o problema em versões vulneráveis sem afetar a funcionalidade.