Pervinzahidli

The miniOrange 2FA WordPress plugin before 6.3.1, miniOrange 2FA WordPress plugin before 19.3 does not scope its second-factor attempt limit to the account being attacked, keying it instead to an identifier the client supplies and can change at will, allowing an attacker who already knows a victim's password to make unlimited one-time-passcode guesses and defeat the second factor. A second validation endpoint applies no attempt limit at all.

**Nome do Software Vulnerável e Versões Afetadas** ArcadeDB versões anteriores a 26.8.1 **Descrição** Usuários root autenticados podem realizar path traversal—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—fornecendo nomes de banco de dados contendo sequências `../`. Isso ocorre porque o software não sanitiza os nomes dos bancos de dados nos comandos de criação e exclusão de banco de dados do endpoint 'POST /api/v1/server'. Consequentemente, um invasor pode criar bancos de dados em caminhos arbitrários do sistema de arquivos ou excluir diretórios recursivamente que o processo do servidor tenha permissão para acessar. **Recomendações** Atualize o ArcadeDB para a versão 26.8.1 ou posterior.