Snailsploit

**Nome do Software Vulnerável e Versões Afetadas** praisonaiagents versões anteriores a 1.6.58 **Descrição** A função `ast grep rewrite()` no componente `praisonaiagents/tools/ast grep tool.py` não possui o decorador `@require approval` utilizado por outras ferramentas de mutação. Quando a variável `dry run` é definida como `False`, um agente pode executar a função para reescrever arquivos correspondentes em um `path` especificado sem a necessidade de autorização. Isso permite a modificação de qualquer arquivo que o processo hospedeiro tenha permissão para gravar, incluindo árvores de código-fonte e configurações de compilação. Além disso, a função retorna incorretamente a string "No changes made" mesmo quando os arquivos são modificados com sucesso, ocultando a ação do operador. Este problema pode ser acionado se um agente for induzido, via injeção de prompt, a chamar a função com as variáveis `pattern`, `replacement` e `path` controladas por um atacante. **Recomendações** Atualize o praisonaiagents para a versão 1.6.58. Como medida paliativa temporária, restrinja o uso da função `ast grep rewrite()` ou evite usar o perfil `code intelligence` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** praisonaiagents versões anteriores a 1.6.58 **Description** No componente `AgentServer`, a variável `ServerConfig.auth token` é exposta, mas não é validada pela função `AgentServer. create app()` em nenhuma das rotas. Isso permite que um chamador remoto execute ações sem um token bearer ou `X-Auth-Token` válido, mesmo quando a autenticação está configurada. Um invasor não autenticado pode interceptar o barramento de eventos, injetar eventos de controle nos processos dos agentes e vazar configurações do servidor. **API Endpoints:** - `/info` (GET): Vaza a configuração do servidor e confirma se um `auth token` está definido. - `/publish` (POST): Permite a transmissão de payloads de eventos arbitrários para todos os agentes inscritos. - `/events` (GET): Permite a inscrição no fluxo de Server-Sent Events (SSE) para observar todos os eventos publicados. - `/health` (GET): Vaza a contagem atual de clientes SSE ativos. **Vulnerable Parameters or Variables:** - `auth token` **Recommendations** Atualize o praisonaiagents para a versão 1.6.58. Como medida paliativa temporária, restrinja o acesso de rede ao `AgentServer` apenas a fontes confiáveis para minimizar o risco de acesso não autorizado aos endpoints afetados.

**Nome do Software Vulnerável e Versões Afetadas** rclone versões anteriores a 1.75.0 **Descrição** A API RC inclui rastreamentos de pilha (stack traces) completos do Go em respostas de erro quando ocorrem pânicos. Isso permite que atacantes provoquem pânicos para vazar informações sensíveis, incluindo caminhos de arquivos internos, versões de módulos, estados de goroutines e endereços de memória. **Recomendações** Atualize o rclone para a versão 1.75.0 ou posterior.

PraisonAI before 1.6.78 caches tool approval decisions by tool name only, allowing attackers to reuse initial approvals for subsequent calls with arbitrary arguments. Attackers can exploit this by obtaining approval for a benign operation and then executing dangerous file write operations with unreviewed parameters in the same session.

**Nome do Software Vulnerável e Versões Afetadas** PraisonAI versões anteriores a 4.6.78 **Description** Existe uma falha de bypass na defesa contra prompt injection porque o sistema apenas bloqueia ameaças classificadas como CRITICAL, o que requer que três ou mais famílias de detectores coincidam simultaneamente. Isso permite que atacantes utilizem prompt injections de vetor único ou duplo, classificados como nível de ameaça HIGH, para ignorar a defesa e atingir o modelo. **Recommendations** Atualize o PraisonAI para a versão 4.6.78 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Rapid7 InsightConnect Markdown Plugin versões anteriores a 3.1.5 **Description** Cross-Site Scripting (XSS) do lado do servidor e Server-Side Request Forgery (SSRF) existem na ação `markdown to pdf`. Esses problemas ocorrem porque o mecanismo de renderização de PDF não restringe a execução de scripts nem o acesso à rede externa, permitindo que atacantes remotos executem JavaScript no servidor e iniciem requisições HTTP externas arbitrárias por meio de conteúdo especialmente criado e incorporado na entrada Markdown. **Recommendations** Atualize o Rapid7 InsightConnect Markdown Plugin para a versão 3.1.5 ou posterior. Como mitigação temporária, restrinja o uso da ação `markdown to pdf`.

**Nome do Software Vulnerável e Versões Afetadas** Jenkins Contrast Continuous Application Security Plugin versões anteriores a 3.12 **Descrição** A ausência de verificações de permissão permite que usuários com permissão Overall/Read enumerem os nomes dos metadados do Contrast configurados. **Recomendações** Atualize o Jenkins Contrast Continuous Application Security Plugin para a versão 3.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Jenkins Assembla Plugin versões anteriores a 1.5 **Descrição** O analisador XML não está configurado para prevenir ataques de entidade externa XML (XXE). Isso permite que atacantes que consigam controlar as respostas do servidor Assembla configurado extraiam segredos do controlador Jenkins ou realizem server-side request forgery (SSRF), que é uma técnica usada para induzir o servidor a fazer requisições para um local não pretendido. **Recomendações** Atualize o Jenkins Assembla Plugin para a versão 1.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Jenkins Assembla Plugin versões anteriores a 1.5 **Descrição** Uma verificação de permissão ausente permite que usuários com permissão Overall/Read forcem o sistema a se conectar a uma URL arbitrária usando um nome de usuário e senha especificados. **Recomendações** Atualize o Jenkins Assembla Plugin para a versão 1.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** vLLM versões anteriores a 0.23.1rc0 **Descrição** Uma correção incompleta para um problema anterior de vazamento de memória permite que atacantes não autenticados vazem endereços de memória do heap. O sistema falha ao sanitizar adequadamente as mensagens de erro em vários caminhos de resposta, ecoando a representação de string de exceções diretamente para os clientes. Isso ocorre porque certas rotas capturam exceções internamente e constroem as respostas por conta própria, ignorando o manipulador global de exceções de sanitização, enquanto os frames de WebSocket ignoram completamente a cadeia de manipuladores. Detalhes técnicos incluem: - **Endpoints de API**: 'POST /v1/messages' e 'POST /v1/messages/count tokens' no roteador de API da Anthropic. - **Componentes Vulneráveis**: O conversor de streaming de Eventos Enviados pelo Servidor (SSE) em `vllm/entrypoints/anthropic/serving.py` e o WebSocket de fala-para-texto em tempo real em `vllm/entrypoints/speech to text/realtime/connection.py`. Um atacante pode explorar isso enviando bytes de imagem malformados através das partes de conteúdo de imagem da API de Mensagens da Anthropic. Isso faz com que a função `PIL.Image.open()` gere um `UnidentifiedImageError`, que inclui uma representação de objeto `BytesIO` contendo um endereço de memória do heap literal no campo `error.message` do corpo da resposta. **Recomendações** Atualize para a versão 0.23.1rc0 ou posterior. Como medida paliativa temporária, restrinja o acesso aos endpoints 'POST /v1/messages' e 'POST /v1/messages/count tokens' e ao WebSocket de fala-para-texto em tempo real para minimizar o risco de exploração.

## Summary When an application using Pydantic AI opts a URL into `force download='allow-local'` (which disables the default block on private/internal IPs) **and runs on a network that routes the affected IPv6 transition forms (NAT64- or ISATAP-configured networks)**, the cloud-metadata blocklist could be bypassed by encoding the metadata IP in an IPv6 transition form that the previous fix did not decode — IPv4-compatible IPv6 (`::a.b.c.d`), the NAT64 RFC 8215 local-use prefix (`64:ff9b:1::/48`), operator-chosen NAT64 prefixes, or ISATAP. The IPv6 wrapper is then delivered to the underlying IPv4 metadata endpoint, exposing cloud IAM short-term credentials. **The bypass is exploitable only in environments whose network actually routes these forms** — NAT64-configured networks (IPv6-only or dual-stack-with-NAT64 deployments, including some Kubernetes setups) for the NAT64 variants, or networks with an ISATAP tunnel for ISATAP. A standard dual-stack cloud VM or container does not route them and is not affected in practice. The IPv4-compatible and Teredo variants are deprecated and addressed as defense-in-depth. This is an incomplete fix of [GHSA-cqp8-fcvh-x7r3](https://github.com/pydantic/pydantic-ai/security/advisories/GHSA-cqp8-fcvh-x7r3) / [CVE-2026-46678](https://nvd.nist.gov/vuln/detail/CVE-2026-46678) (itself a follow-up to [CVE-2026-25580](https://nvd.nist.gov/vuln/detail/CVE-2026-25580)). The prior remediation decoded only IPv4-mapped IPv6, 6to4, and the NAT64 well-known prefix; the metadata guarantee did not hold for the remaining transition forms. ## Severity **MEDIUM** — `CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:N/A:N` = **6.8** Same impact metrics and narrow attack surface as the parent advisory (AC:H): exploitation requires the application to have opted into `allow-local` on a URL influenced by untrusted input, and the NAT64/ISATAP variants additionally require the deployment network to route those forms. **CWE-918**: Server-Side Request Forgery (SSRF) ## Affected Versions | Package | Vulnerable | Patched | |---|---|---| | `pydantic-ai` | `>= 1.56.0, < 1.102.0`; `>= 2.0.0b1, < 2.0.0b3` | `1.102.0`; `2.0.0b3` | | `pydantic-ai-slim` | `>= 1.56.0, < 1.102.0`; `>= 2.0.0b1, < 2.0.0b3` | `1.102.0`; `2.0.0b3` | These transition forms have not been decoded since SSRF protection was introduced in `1.56.0`. ## Who Is Affected Users are affected **only if** their application explicitly opts a `FileUrl` (`ImageUrl`, `AudioUrl`, `VideoUrl`, `DocumentUrl`) into `force download='allow-local'` on a URL that is, or could be, influenced by untrusted input. Beyond that precondition, the affected encodings only reach a metadata endpoint in environments whose network actually routes them. The broadly-routable IPv4-mapped form was addressed in `1.99.0` (CVE-2026-46678); the additional forms addressed here require a **NAT64-configured network** (IPv6-only or dual-stack-with-NAT64 deployments, including some Kubernetes setups) for the NAT64 variants, or an **ISATAP tunnel** for the ISATAP variant. The IPv4-compatible and Teredo forms are deprecated and not routed by modern stacks; they are addressed as defense-in-depth. Most deployments on a standard dual-stack cloud VM or container are therefore not exploitable in practice, but the fix restores the "always blocked" guarantee for the environments that are. Users are **not** affected if they use any of the bundled integrations to ingest user input, because they do not propagate `force download` from external data: - `Agent.to web` / `clai web` - `VercelAIAdapter` - `AGUIAdapter` / `Agent.to ag ui` Applications that only download from developer-controlled URLs are not affected. ## Remediation Upgrade to `1.102.0` or later (or `2.0.0b3` or later on the 2.0 pre-release line). The cloud-metadata and private-IP blocklists now decode the embedded IPv4 of every standardized IPv6 transition form before evaluating it — IPv4-mapped, IPv4-compatible, 6to4, NAT64 across all prefix lengths (including the RFC 8215 local-use prefix and operator-chosen prefixes), ISATAP, and Teredo. The set of always-blocked cloud metadata/credential endpoints has also been expanded across providers. ## Workaround for Unpatched Versions Avoid passing `force download='allow-local'` on any URL that could be influenced by untrusted input. If developers must, resolve the hostname themselves and validate the result against their own metadata blocklist — including IPv6 transition forms — before constructing the `FileUrl`. ## Credits Reported by [@SnailSploit](https://snailsploit.com).

**Nome do Software Vulnerável e Versões Afetadas** phpMyFAQ versões anteriores a 4.1.4 **Description** Falhas de autorização ausente nos endpoints `editUser()` e `updateUserRights()` permitem que administradores autenticados escalem privilégios. Um usuário autenticado que não seja SuperAdmin, mas possua a permissão `edit user`, pode modificar a flag `is superadmin` ou conceder direitos arbitrários a uma conta, permitindo que obtenha acesso total de SuperAdmin e controle completo sobre a base de conhecimento. **Recommendations** Atualizar para a versão 4.1.4.

**Nome do Software Vulnerável e Versões Afetadas** Network-AI versões anteriores a 5.7.2 **Descrição** O servidor MCP SSE permite a invocação não autenticada de ferramentas MCP cross-origin porque o servidor utiliza por padrão um segredo vazio e a função `isAuthorized()` retorna verdadeiro quando o segredo está vazio. Embora uma atualização anterior tenha restringido o CORS para origens localhost, o servidor permanece não autenticado por padrão para chamadores que não sejam navegadores, como curl ou SSRF. Isso permite o acesso não autorizado a 22 ferramentas MCP, incluindo as funções `config set`, `agent spawn`, `blackboard write` e `token *`, especialmente quando um bind de non-loopback é utilizado. **Recomendações** Atualize para a versão 5.7.2.

**Nome do Software Vulnerável e Versões Afetadas** AVideo versões 29.0 e anteriores **Descrição** Existe um problema na plataforma de vídeo de código aberto onde o endpoint "objects/mention.json.php" não possui `User::loginCheck()` ou um controle de acesso de administrador. O endpoint implementa apenas uma guarda de entrada usando `preg match('/^@/', $ REQUEST['term'])` e um `rowCount=10` fixo. Isso permite que usuários não autenticados realizem a enumeração de usuários manipulando a variável `term`. **Recomendações** Atualize o AVideo para uma versão posterior à 29.0. Como medida paliativa temporária, restrinja o acesso ao endpoint "objects/mention.json.php" para minimizar o risco de enumeração de usuários.

**Nome do Software Vulnerável e Versões Afetadas** WWBN AVideo versões 29.0 e anteriores **Descrição** Certos componentes, incluindo `EpgParser.php` e `plugin/AI/receiveAsync.json.php`, não utilizam o parâmetro de saída `$resolvedIP` da função `isSSRFSafeURL()` para fixação de DNS (DNS pinning) via `CURLOPT RESOLVE`. Essa falha cria uma condição de Time-of-Check to Time-of-Use (TOCTOU), o que permite ataques de DNS rebinding. O DNS rebinding é uma técnica usada para burlar restrições de segurança, alterando o endereço IP associado a um nome de domínio entre o momento em que a aplicação valida o endereço e o momento em que ela efetivamente acessa o recurso. **Recomendações** Atualize para uma versão onde `EpgParser.php` e `plugin/AI/receiveAsync.json.php` sejam corrigidos para usar métodos seguros contra redirecionamento ou implementem corretamente a fixação de DNS utilizando o parâmetro `$resolvedIP` com `CURLOPT RESOLVE`.

**Nome do Software Vulnerável e Versões Afetadas** AVideo versões anteriores a 29.0 **Descrição** Dois endpoints, 'plugin/AI/receiveAsync.json.php' e 'objects/EpgParser.php', utilizam a função `isSSRFSafeURL()` para validar URLs fornecidas pelo usuário, mas as buscam utilizando `file get contents()` sem desativar o seguimento automático de redirecionamentos. Isso permite que um invasor forneça uma URL que redirecione para um endereço interno ou de metadados de nuvem (como 'http://169.254.169.254/latest/meta-data/'), ignorando as proteções de SSRF, pois apenas a URL inicial é validada. Isso pode levar à exfiltração de credenciais IAM, identidade da instância ou acesso a serviços internos e varredura de portas. Além disso, vários chamadores de `isSSRFSafeURL()` descartam o parâmetro `$resolvedIP` destinado ao DNS pinning, tornando-os suscetíveis a ataques de DNS rebinding TOCTOU (Time-of-Check to Time-of-Use). Isso ocorre quando o registro DNS de um domínio muda entre o momento da validação e o momento da requisição real. Os chamadores afetados incluem: - 'objects/aVideoEncoderReceiveImage.json.php' - 'objects/aVideoEncoder.json.php' - 'plugin/BulkEmbed/save.json.php' - 'plugin/AI/receiveAsync.json.php' - 'objects/EpgParser.php' - 'plugin/Scheduler/Scheduler.php' **Recomendações** Atualize o AVideo para uma versão posterior a 29.0. Como medida paliativa temporária, restrinja o acesso aos endpoints 'plugin/AI/receiveAsync.json.php' e 'objects/EpgParser.php' para minimizar o risco de SSRF baseado em redirecionamento.

**Name of the Vulnerable Software and Affected Versions** DDEV versões anteriores a 1.25.2 **Description** O DDEV é uma ferramenta de código aberto para executar ambientes de desenvolvimento web locais para PHP e Node.js. O software realiza a extração não sanitizada de arquivos de fontes remotas sem validação de caminho nas funções `Untar()` e `Unzip()` localizadas em `pkg/archive/archive.go`. **Recommendations** Atualizar para a versão 1.25.2.

**Name of the Vulnerable Software and Affected Versions** CairoSVG versions prior to 2.9.0 **Description** CairoSVG is an SVG converter based on Cairo, a 2D graphics library. A denial of service can occur due to recursive `<use>` element amplification within the `cairosvg/defs.py` file, specifically in the `use()` function. This amplification leads to CPU exhaustion even from a small input file. A 1,411-byte SVG payload can pin the CPU at 100% indefinitely. The issue arises from the recursive processing of `<use>` elements without depth or count limits. The amplification factor is O(10^N) rendering calls from O(N) input. **Recommendations** Update CairoSVG to version 2.9.0 or later. As a temporary workaround, consider limiting the recursion depth within the `use()` function to prevent excessive CPU usage.