Saidakbarxon Maxsudxonov

**Nome do Software Vulnerável e Versões Afetadas** Crater Invoice versões anteriores a 6.0.7 **Descrição** Um problema de path traversal existe na API de auto-atualização. Proprietários de empresas autenticados podem gravar arquivos arbitrários fora do diretório de extração pretendido ao fornecer arquivos ZIP manipulados contendo sequências `../` para o endpoint `/unzip`. Isso ocorre porque nomes de entradas ZIP não sanitizados são passados para a função `ZipArchive::extractTo()`, permitindo que atacantes coloquem arquivos PHP arbitrários no diretório público acessível via web e alcancem a execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor. **Recomendações** Atualize o Crater Invoice para a versão 6.0.7 ou posterior. Restrinja o acesso ao endpoint `/unzip` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** CamaleonCMS versões anteriores a 2.9.3 **Descrição** Um problema de falta de autorização existe no controlador de usuários administrativos. Um usuário autenticado pode acessar os dados de perfil de qualquer outro usuário, incluindo administradores, enviando uma requisição GET para o endpoint de perfil administrativo usando um número inteiro sequencial enumerável no parâmetro `user ID`. Isso ocorre porque a ação de perfil está excluída do filtro de validação de função e carece de uma verificação de propriedade. **Recomendações** Atualize o CamaleonCMS para uma versão posterior à 2.9.2.

**Nome do Software Vulnerável e Versões Afetadas** CamaleonCMS versões anteriores a 2.9.3 **Description** Uma referência direta insegura a objeto (IDOR) permite que atacantes autenticados com baixos privilégios escalem privilégios ao explorar uma falha de confusão de parâmetros no `UsersController` entre o filtro de autorização e o corpo da ação. Ao enviar uma requisição PATCH para o endpoint 'updated ajax', um atacante pode definir o parâmetro `id` como seu próprio ID de usuário para ignorar as verificações de auto-autorização, enquanto define o parâmetro `user id` como o ID de uma vítima. Isso faz com que o controlador carregue e modifique a conta da vítima, permitindo que o atacante sobrescreva senhas de administrador e assuma o controle total do site. **Recommendations** Atualize o CamaleonCMS para a versão 2.9.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Domoticz versões anteriores a 2026.3 **Description** Um problema de cross-site scripting armazenado existe no painel móvel. Atacantes autenticados podem injetar HTML e JavaScript arbitrários ao atualizar valores de dispositivos dos subtipos Text ou Alert através da API. O painel móvel renderiza esses dados usando `ng-bind-html` com uma transformação `nl2br()` que não realiza a filtragem de HTML. Isso permite que cargas maliciosas sejam armazenadas e executadas no navegador de um administrador ao visualizar o painel, podendo levar ao roubo de cookies de sessão e à tomada de controle da conta. **Recommendations** Atualize para a versão 2026.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Grav CMS scheduler-webhook plugin (versões afetadas não especificadas) **Description** Existe uma falha de bypass de autenticação na verificação de token do webhook do plugin scheduler-webhook. Quando o recurso de webhook está habilitado, mas nenhum `webhookToken` está configurado, o sistema ignora a validação do token. Isso permite que um invasor remoto não autenticado acione tarefas agendadas previamente configuradas ao enviar uma requisição para o endpoint 'POST /scheduler/webhook'. O invasor pode determinar qual tarefa será executada através do parâmetro `job`, embora não tenha controle sobre a carga útil da tarefa. A execução remota de código só é possível se o operador tiver configurado uma tarefa que execute comandos de shell. Este problema requer que o plugin scheduler-webhook esteja instalado e que a configuração `scheduler.modern.webhook.enabled` esteja definida como true. **Recommendations** Configure um `webhookToken` para garantir que a validação do token seja realizada. Defina `scheduler.modern.webhook.enabled` como false caso o recurso de webhook não seja necessário. Como medida paliativa temporária, restrinja o acesso ao endpoint 'POST /scheduler/webhook'.

**Nome do Software Vulnerável e Versões Afetadas** NASA-AMMOS Asynchronous Network Management System (ANMS) (versões afetadas não especificadas) JHUAPL-DTNMA/dtnma-tools (versões afetadas não especificadas) **Description** A implementação de referência do Asynchronous Network Management System (ANMS) contém um problema de configuração onde a API REST do serviço `amp-manager` é publicada diretamente na interface de rede do host na porta 8089. Esta configuração ignora o gateway Configuration and Access Manager (CAM), que serve como a única fronteira de autenticação do sistema. O servidor REST subjacente, implementado com CivetWeb em `dtnma-tools` (especificamente em `src/refdm/nm rest.c`), possui a configuração `enable auth domain check` desativada e utiliza um callback de autenticação nulo para todas as rotas. Isso permite que qualquer cliente com alcance de rede enumere agentes registrados, limpe relatórios armazenados e envie conjuntos de comandos arbitrários para os agentes através do endpoint `.../agents/{eid|idx}/send`, que encaminha conjuntos de comandos codificados em EXECSET para agentes DTNMA registrados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Koha (versões afetadas não especificadas) **Descrição** O construtor de relatórios guiados em `reports/guided reports.pl` é suscetível a injeção de SQL cega baseada em tempo. A aplicação lê o parâmetro CGI `order by` e um parâmetro nomeado dinamicamente `{order} ovalue`, concatenando-os diretamente em uma cláusula SQL ORDER BY sem validação ou lista de permissões. Isso ocorre porque a string resultante é anexada literalmente à consulta final em `C4::Reports::Guided` através da operação `$query .= $orderby;`. Contas de funcionários com permissões `create reports` ou `execute reports` podem explorar isso para acessar o banco de dados, que contém informações de identificação pessoal (PII) de usuários e credenciais de funcionários ou LDAP. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Hugging Face peft (versões afetadas não especificadas) **Description** Os módulos de inicialização LoRA-GA e CorDA chamam a função `torch.load()` em arquivos de cache ou covariância especificados na configuração sem definir o parâmetro `weights only=True`. Isso ignora o wrapper de carregamento seguro implementado em outras partes da base de código. Como o `torch.load()` sem `weights only=True` realiza a desserialização completa do pickle, um invasor pode executar código arbitrário ao fornecer um arquivo de cache ou covariância malicioso, como um arquivo compartilhado ou baixado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Cacti (versões afetadas não especificadas) **Description** A função `sanitize sql column()` em `lib/functions.php` não sanitiza adequadamente os nomes de colunas ORDER BY fornecidos pelo usuário. A função utiliza uma expressão regular que permite letras, dígitos, sublinhados, parênteses e pontos, o que possibilita que payloads como `SLEEP(5)` passem inalterados. Este valor sanitizado é concatenado diretamente em cláusulas SQL ORDER BY brutas através do parâmetro GET `sort column` nos endpoints 'user log.php', 'utilities.php', 'user domains.php' e 'user group admin.php'. Consequentemente, qualquer usuário autenticado pode realizar a injeção de SQL cega baseada em tempo, uma técnica usada para extrair informações de um banco de dados observando o tempo que o servidor leva para responder a consultas específicas. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Cotonti CMS (versões afetadas não especificadas) **Description** O plugin Comments no Cotonti CMS não restringe as classes durante a desserialização de dados fornecidos pelo usuário, resultando em uma Injeção de Objeto PHP. Isso ocorre quando a função `unserialize()` é utilizada em entradas decodificadas em base64 sem a restrição `allowed classes`. O problema está presente nos seguintes locais: - Em `plugins/comments/controllers/actions/CreateAction.php`, o parâmetro POST `ci` é processado. - Em `plugins/comments/controllers/actions/EditAction.php`, o parâmetro `cb` é processado dentro da função `prepareComeBack()`. - Em `plugins/comments/controllers/actions/DeleteAction.php`, um padrão semelhante existe, mas é restrito a administradores. Membros com acesso de escrita em comentários podem explorar isso para instanciar classes arbitrárias carregadas pelo sistema. Por exemplo, usando a classe `MySQL cache`, um invasor pode acionar a cadeia ` destruct()->flush()` para executar operações `INSERT INTO cot cache` não autorizadas. Dependendo das cadeias de gadgets disponíveis na instalação, isso pode potencialmente levar à Execução Remota de Código (RCE), que é a capacidade de executar comandos arbitrários no servidor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Statamic CMS (versões afetadas não especificadas) **Description** O resolver de aumento de usuário `AugmentedUser::get()` em `src/Auth/AugmentedUser.php` contém um caso para o handle `two factor recovery codes` que retorna códigos de recuperação de dois fatores brutos sem restrições de acesso. Ao contrário das senhas, esses códigos não são excluídos do aumento e não estão incluídos nas listas de guarda de variáveis do Antlers, que normalmente protegem apenas `config.app.key`. Se a renderização dinâmica de templates estiver habilitada para um campo no nível do blueprint, um invasor pode usar um template como `{{ current user.two factor recovery codes }}` para renderizar os códigos de recuperação do usuário diretamente na resposta HTML. Isso permite que um invasor que possa visualizar ou capturar a resposta obtenha os códigos e ignore a autenticação de dois fatores (2FA). A exploração depende da renderização dinâmica do Antlers estar habilitada via configuração de blueprint. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Subrion CMS (versões afetadas não especificadas) **Description** O auxiliar de ordenação de grade administrativa ` gridGetSorting()` em includes/classes/ia.base.controller.admin.php não valida adequadamente o parâmetro GET `sort`. Embora a função tente validar a lista branca do parâmetro de direção, ela retorna ao uso do parâmetro `sort` bruto, fornecido pelo atacante, quando a chave solicitada não está presente no array de lista branca `$ gridSorting`. Esse valor é então inserido em uma consulta SQL usando `sprintf()` apenas com aspas simples (backticks) e sem escape. Uma sessão de administrador autenticada pode usar uma crase no payload para sair do contexto do identificador e realizar a injeção de SQL, como extração baseada em erro via `EXTRACTVALUE()` ou extração baseada em tempo via `SLEEP()`, para recuperar conteúdos do banco de dados, incluindo hashes de senhas de administradores. Este problema afeta a maioria dos controladores de grade administrativa, incluindo pages.php, transactions.php, languages.php e members.php. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Bolt CMS (versões afetadas não especificadas) **Description** O Bolt CMS renderiza valores de campos de conteúdo usando o Ambiente completo do Twig em nível de aplicação sem um SandboxExtension. No arquivo `src/Entity/Field.php`, a função `getTwigValue()` chama `shouldBeRenderedAsTwig()`, que verifica apenas a flag `allow twig` e uma regex para `{{`, `{%` ou `{#`. Quando essas condições são atendidas, o valor bruto do campo é compilado e renderizado via `self::getTwig()->createTemplate($value)->render(['record' => $this->getContent()])` sem sandboxing. Como o campo de conteúdo padrão para páginas em `config/bolt/contenttypes.yaml` possui `allow twig` definido como true por padrão, usuários com acesso de edição a esse tipo de conteúdo podem injetar payloads Twig para executar comandos arbitrários do sistema operacional como o usuário do servidor web, resultando em execução remota de código. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kanboard versões anteriores a 1.2.53 **Description** Usuários autenticados podem ignorar as proteções de server-side request forgery (SSRF) ao utilizar a notação de endereço IP hexadecimal em URLs controladas pelo usuário. Através do recurso de criação de links da web, atacantes podem enviar endereços IP internos codificados em hexadecimal, levando o cURL a se conectar a recursos de rede interna, incluindo serviços de localhost, serviços de metadados de instâncias de nuvem e endereços RFC1918. Isso ocorre porque a função `isPrivateURL()` em `app/Core/Http/Client.php` valida incorretamente a entrada como segura, já que o `FILTER VALIDATE IP` rejeita a notação que não seja decimal pontuada. **Recommendations** Atualize o Kanboard para a versão 1.2.53 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** AMMOS Instrument Toolkit (AIT) Deep Space Network (DSN) Interface versões anteriores a 2.2.2 **Description** O gerenciador de interface Space Link Extension (SLE) apresenta ausência de autenticação, permitindo que atacantes de rede não autenticados acessem sete rotas de API desprotegidas por meio de requisições HTTP diretas. Isso permite que atacantes iniciem ou interrompam sessões de comunicação da Deep Space Network, recuperem dados de quadros de telemetria e injetem quadros arbitrários em links ativos de espaçonaves. **Recommendations** Atualize o AMMOS Instrument Toolkit (AIT) Deep Space Network (DSN) Interface para a versão 2.2.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** AMMOS Instrument Toolkit (AIT) GUI versões anteriores a 2.5.1 **Descrição** Uma falha de autenticação permite que um invasor de rede não autenticado obtenha uma sessão válida e envie comandos arbitrários para a espaçonave. Isso é possível ao chamar a função `Sessions.create()`, que não realiza a verificação de credenciais. Uma vez estabelecida a sessão, o invasor pode invocar a função `handle cmd()` para encaminhar comandos arbitrários diretamente para o barramento de comando do AIT, pois não há um portão de autenticação entre a criação da sessão e o despacho do comando. **Recomendações** Atualize o AMMOS Instrument Toolkit (AIT) GUI para a versão 2.5.1 ou posterior. Como medida de mitigação temporária, restrinja o acesso de rede às funções `Sessions.create()` e `handle cmd()`.

**Nome do Software Vulnerável e Versões Afetadas** sysPass versões anteriores a 3.2.12 **Descrição** Administradores autenticados podem executar comandos arbitrários como o usuário do processo do servidor web ao configurar um caminho de backup malicioso e disparar um backup. O `FileBackupService` constrói um comando de shell tar usando concatenação de strings, incorporando a variável `siteBackupPath` sem a sanitização adequada via `escapeshellarg()` ou métodos similares antes de passá-la para a função `exec()`. Isso permite que comandos injetados persistam e sejam executados durante cada operação de backup subsequente. **Recomendações** Atualize o sysPass para uma versão posterior à 3.2.11. Como mitigação temporária, evite modificar a configuração `siteBackupPath` e restrinja o acesso à funcionalidade de backup.

**Nome do Software Vulnerável e Versões Afetadas** Grav CMS scheduler-webhook plugin (versões afetadas não especificadas) **Description** Existe uma falha de bypass de autenticação no plugin scheduler-webhook devido a um erro de lógica de curto-circuito na validação do token do webhook. Isso permite que atacantes remotos não autenticados acionem tarefas agendadas configuradas ao enviar uma requisição POST para o endpoint do scheduler webhook. Atacantes podem executar todas as tarefas configuradas ou alvejar uma específica, resultando na execução não pretendida de comandos definidos pelo operador sob os privilégios do usuário do processo do servidor web. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Cockpit CMS (versões afetadas não especificadas) **Description** A falta de autorização no endpoint da API de armazenamento de arquivos Bucket '/system/buckets/api' permite que usuários autenticados ignorem o controle de acesso. A função `api()` em modules/System/Controller/Buckets.php executa comandos como `ls`, `upload`, `removefiles`, `rename` e `createfolder` sem verificar Listas de Controle de Acesso (ACL) ou funções de usuário. Consequentemente, qualquer usuário autenticado pode realizar todas as operações de bucket em qualquer bucket nomeado, incluindo aqueles reservados para administradores. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Cockpit CMS (versões afetadas não especificadas) **Descrição** Um problema de traversal de caminho existe no endpoint da API de armazenamento de arquivos de Bucket '/system/buckets/api'. A função `api()` em modules/System/Controller/Buckets.php utiliza um método de sanitização que permite sequências '..' e '../' na variável `bucket`. Isso permite que o WhitespacePathNormalizer do Flysystem resolva o caminho para a raiz do armazenamento de uploads. Consequentemente, um usuário autenticado com baixos privilégios pode listar, fazer upload e excluir arquivos em todos os buckets, incluindo aqueles pertencentes a outros usuários ou funções. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.