Seankohjs

**Nome do Software Vulnerável e Versões Afetadas** Copier versões 9.5.0 through 9.15.1 **Description** Existe um problema na correspondência de prefixo da configuração `trust` em `copier/ settings.py`, onde a URL do template é comparada com um prefixo confiável usando `str.startswith` sem normalização de caminho. Como a URL é normalizada durante o processo de busca real (usando `Path.resolve()` para caminhos locais e remoção de segmentos de ponto do libcurl para HTTPS), uma referência de template contendo `..` que textualmente comece com um prefixo confiável pode receber a confiança. Isso permite que um template controlado por um invasor execute `tasks`, `migrations` ou `jinja extensions` sem o prompt `--trust`, resultando na execução arbitrária de comandos. **Recommendations** Atualize para a versão 9.15.2.

**Nome do Software Vulnerável e Versões Afetadas** justhtml versões 0.9.0 through 1.21.0 **Description** Um problema de cross-site scripting existe na função `to markdown()`. O problema ocorre porque os spans de código inline não reconhecem linhas em branco como limites de bloco. Isso permite que atacantes injetem linhas em branco no texto de elementos code ou pre para quebrar o span inline, resultando na emissão de HTML sanitizado sem escape e, subsequentemente, no reprocessamento como Markdown ativo por renderizadores compatíveis. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Crawl4AI versões anteriores a 0.9.0 **Description** O servidor da API do Docker não aplica verificações de destino de Server-Side Request Forgery (SSRF) no caminho de streaming. Um cliente remoto não autenticado pode explorar isso chamando o endpoint 'POST /crawl/stream' ou o endpoint 'POST /crawl' com a variável `crawler config.stream` definida como true. A função `handle stream crawl request()` passa URLs semente diretamente para o crawler sem validação, permitindo que o servidor busque e transmita corpos de resposta de endereços internos, privados ou link-local. **Recommendations** Atualizar para a versão 0.9.0.