Semisol

**Nome do software vulnerável e versões afetadas** Versões do LNbits anteriores à 0.12.6 **Descrição** O pagamento de faturas no Eclair que não sejam liquidadas dentro do tempo limite interno (cerca de 30 segundos) pode fazer com que um pagamento seja considerado falho, mesmo que ainda esteja em andamento. Esse problema pode resultar na perda total de fundos para o backend do nó. O problema surge ao usar `blocking: true` na chamada de API, levando a um erro de tempo limite se um pagamento não for liquidado dentro do tempo limite de 30 segundos. **Recomendações** Para versões anteriores à 0.12.6, atualize para a versão 0.12.6 para evitar a perda de fundos devido a faturas não liquidadas. Como solução temporária, considere verificar o status do pagamento após um erro e sempre presuma que o pagamento ainda está em andamento quando houver dúvida. Restringir o uso de `blocking: true` nas chamadas de API até que o problema seja resolvido também pode ajudar a minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: ScratchOAuth2 (versões afetadas não especificadas) Descrição: A vulnerabilidade permite que um site de terceiros acesse e modifique os dados de um usuário do Scratch, fingindo ser o usuário e obtendo um código de login do ScratchOAuth2. Isso é feito por meio de uma série de etapas nas quais o site de terceiros induz o usuário a publicar um código de login em seu perfil, que o site de terceiros então utiliza para concluir o processo de login e obter acesso total à conta do usuário. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do ScratchVerifier anteriores ao commit a603769 **Descrição** Um invasor pode se apropriar do processo de verificação para acessar a conta de outra pessoa em qualquer site que utilize o ScratchVerifier para logins. A exploração envolve as seguintes etapas: 1. O usuário inicia o processo de login. 2. O invasor tenta fazer o login pelo usuário e recebe o mesmo código de verificação. 3. O usuário digita o código como parte de seu login normal. 4. Antes que o usuário consiga, o invasor conclui o processo de login agora que o código foi digitado. 5. O usuário recebe uma mensagem de login com falha, e o invasor agora tem controle da conta. Este problema afeta principalmente usuários que digitam o código e demoram vários segundos para concluir o login. **Recomendações** Para versões do ScratchVerifier anteriores ao commit a603769, atualize para uma versão que inclua a correção, pois, a partir do commit a603769, iniciar um login duas vezes gerará códigos de verificação diferentes, fazendo com que tanto o login do usuário quanto o do invasor falhem. Como solução temporária, considere concluir o processo de login o mais rápido possível após comentar o código para minimizar o risco de exploração. Restrinja o acesso ao processo de verificação apenas a usuários confiáveis até que o problema seja resolvido.