Shin24

O problema está relacionado a uma vulnerabilidade de Modificação Impropriamente Controlada de Atributos de Objeto Determinados Dinamicamente, que permite Injeção de Objeto no Drupal core.

O problema é uma vulnerabilidade de Solicitação Direta (“Navegação Forçada”) no Apache OFBiz, que poderia permitir que invasores executassem código arbitrário em servidores Linux e Windows vulneráveis. Essa vulnerabilidade tem sido ativamente explorada por hackers, com mais de 25.000 solicitações direcionadas a 4.000 sites únicos detectadas pela Imperva. A vulnerabilidade afeta versões do Apache OFBiz anteriores à 18.12.16.

O módulo de gerenciamento de backups do Painel de Controle do Administrador (Admin CP) no MyBB pode aceitar `.htaccess` como nome do arquivo de backup a ser excluído, expondo potencialmente os arquivos de backup armazenados via HTTP em servidores Apache.

A lista padrão de hosts remotos não permitidos no MyBB não contém o bloco `127.0.0.0/8`, o que pode resultar em um problema de falsificação de solicitação do lado do servidor (SSRF). A lista Endereços Remotos Proibidos do arquivo de configuração (`$config[‘disallowed remote addresses’]`) contém o endereço `127.0.0.1`, mas não inclui o bloco completo `127.0.0.0/8`. Os administradores de fóruns instalados devem atualizar a configuração existente (`inc/config.php`) para incluir todos os endereços bloqueados por padrão. Recomenda-se que os usuários verifiquem se ela inclui quaisquer outros endereços IPv4 que apontem para o servidor e outros recursos internos.

A problematic issue has been found in phpBB, affecting the function main of the file phpBB/includes/acp/acp icons.php of the component Smiley Pack Handler. The manipulation of the argument `pak` leads to cross-site scripting. The attack may be initiated remotely. Upgrading to version 3.3.11 is able to address this issue.