Samuelwei

**Nome do Software Vulnerável e Versões Afetadas** Versões do BigBlueButton 3.0.21 e anteriores **Descrição** O BigBlueButton é uma sala de aula virtual de código aberto. Seguir as instruções na documentação oficial para "Personalização do Servidor" relativas ao ClamAV como verificador de arquivos de apresentação pode deixar um servidor BigBlueButton vulnerável a uma Negação de Serviço. As instruções da documentação expõem as portas (3310 e 7357) à internet. Um atacante remoto pode explorar isso enviando documentos complexos ou grandes para o clamd, potencialmente desperdiçando recursos do servidor ou encerrando o processo clamd. A documentação do clamd alerta contra a exposição desta porta. Montar /var/bigbluebutton com permissões de escrita dentro do contêiner, conforme sugerido na documentação, também pode representar um risco futuro se vulnerabilidades no clamd permitirem a manipulação de arquivos dentro dessa pasta. Os usuários são afetados apenas se tiverem seguido as instruções específicas na documentação do BigBlueButton. **Recomendações** Versões anteriores à 3.0.22 não devem seguir as instruções da documentação para "Personalização do Servidor" sobre o Suporte ao ClamAV como verificador de arquivos de apresentação. Não exponha as portas 3310 e 7357 à internet. Evite montar /var/bigbluebutton com permissões de escrita dentro do contêiner.

**Name of the Vulnerable Software and Affected Versions** PILOS versions prior to 4.10.0 **Description** PILOS (Platform for Interactive Live-Online Seminars) is a frontend for BigBlueButton. A Cross-Site Request Forgery (CSRF) issue exists in an administrative API endpoint responsible for terminating all active video conferences on a single server. The affected endpoint, exposed via an HTTP GET request, performs a destructive action. While authorization checks are in place, the use of a GET request allows implicit invocation through same-site content. An authenticated administrator viewing crafted content within the application may unknowingly trigger the endpoint, terminating all active video conferences without explicit intent. The vulnerable endpoint is an administrative API endpoint. **Recommendations** Update to version 4.10.0 or later.

**Name of the Vulnerable Software and Affected Versions** PILOS versions prior to 2.3.0 **Description** The password reset component in PILOS uses the hostname supplied within the request host header when building a password reset URL. This could allow manipulation of the URL sent to PILOS users, potentially disclosing the password reset token if the link is followed. The issue only affects local user accounts and requires the password reset option to be enabled. **Recommendations** For versions prior to 2.3.0, update to version 2.3.0 to resolve the issue. As a temporary workaround, consider disabling the password reset option until the update is applied. Restrict access to the password reset component to minimize the risk of exploitation. Avoid using the password reset feature in the affected versions until the issue is resolved.