Sehwang Kim

**Nome do Software Vulnerável e Versões Afetadas** ProjectSend versão r2029 **Description** Ocorre cross-site scripting refletido no endpoint 'thumbnails-regenerate.php'. Atacantes remotos podem injetar HTML e JavaScript arbitrários ao fornecer valores não sanitizados através dos parâmetros GET `start date` e `end date`, que são ecoados sem escape em valores de atributos HTML. Uma vítima autenticada com permissões de edit settings que acessar uma URL maliciosa pode ter scripts executados na origem da aplicação, levando potencialmente ao roubo de cookies de sessão ou ações não autorizadas, como gerenciamento de usuários, gerenciamento de arquivos e alterações nas configurações da aplicação. **Recommendations** Para a versão r2029, evite usar os parâmetros `start date` e `end date` no endpoint 'thumbnails-regenerate.php' até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** OneDev versões anteriores a 15.0.7 **Description** Um problema de gravação arbitrária de arquivos existe devido ao traversal de caminho via symlink. A função `TarUtils.untar()` cria links simbólicos usando a entrada `getLinkName()` do TAR sem validar se o destino é um caminho absoluto. Uma entrada de arquivo subsequente no mesmo arquivo pode atravessar esse symlink para gravar em locais arbitrários no servidor. Isso pode ser explorado por qualquer usuário autenticado com acesso de escrita em CI Job, sem a necessidade de interação do administrador. **Recommendations** Atualize para a versão 15.0.7.