Stefan Pietsch

**Nome do software vulnerável e versões afetadas** Versões do Micro Focus GroupWise Web anteriores à 18.4.2 **Descrição** Foi identificada uma vulnerabilidade no componente GW Web, que envia uma solicitação ao Post Office Agent contendo informações confidenciais nos parâmetros da consulta. Essas informações confidenciais podem ser registradas por quaisquer proxies HTTP intermediários. **Recomendações** Para versões anteriores à 18.4.2, atualize para a versão 18.4.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao componente GW Web para minimizar o risco de exploração. Evite usar informações confidenciais nos parâmetros de consulta para a solicitação ao Post Office Agent até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** OpenEMR versão 6.0.0 anterior à correção 3 **Descrição** Uma vulnerabilidade de injeção de SQL autenticada na função de pesquisa do calendário permite que um invasor leia dados de todas as tabelas do banco de dados por meio do parâmetro `provider id`, conforme demonstrado pela URI “/interface/main/calendar/index.php?module=PostCalendar&func=search”. **Recomendações** Para o OpenEMR versão 6.0.0 antes do patch 3, aplique o patch 3 para resolver o problema. Como solução temporária, considere restringir o acesso à função de pesquisa do calendário até que um patch esteja disponível. Evite usar o parâmetro `provider id` no endpoint da API afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas: Versões 3.7.1 a 3.9.1 do Rocket.Chat Descrição: Existe uma falha de enumeração de endereços de e-mail na função de redefinição de senha. Isso permite a identificação potencial de endereços de e-mail associados a contas de usuário. Recomendações: Para as versões 3.7.1 a 3.9.1 do Rocket.Chat, atualize para uma versão posterior à 3.9.1 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à função de redefinição de senha até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** MensaMax (aka com.breustedt.mensamax) version 4.3 **Description** The issue allows man-in-the-middle attackers to eavesdrop on authentication information between the application and the server due to cleartext transmission of sensitive information. **Recommendations** For MensaMax version 4.3, consider implementing encryption for sensitive information transmission to prevent eavesdropping. As a temporary workaround, restrict the use of the application on unsecured networks to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** MensaMax (aka com.breustedt.mensamax) version 4.3 **Description** An issue was discovered in the MensaMax application, where the use of a hard-coded DES cryptographic key allows an attacker who decodes the application to decrypt transmitted data, such as the `username` and `password`. **Recommendations** For MensaMax version 4.3, consider disabling the transmission of sensitive data until a patch is available. Restrict access to the application's data to minimize the risk of exploitation. Avoid using the application for sensitive transactions until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.