Tanya Secker

**Nome do software vulnerável e versões afetadas** Plixer International Scrutinizer NetFlow & sFlow Analyzer, versões anteriores à 9.0.1.19899 **Descrição** O problema diz respeito à falta de validação de permissões do usuário no componente cgi-bin/userprefs.cgi. Isso permite que invasores remotos criem novas contas de usuário com privilégios de administrador, explorando os parâmetros `newuser`, `pwd` e `selectedUserGroup`. **Recomendações** Para versões anteriores à 9.0.1.19899, atualize para a versão 9.0.1.19899 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao componente cgi-bin/userprefs.cgi para impedir a criação não autorizada de contas.

**Nome do software vulnerável e versões afetadas** Plixer International Scrutinizer NetFlow & sFlow Analyzer, versões 8.6.2.16204 a 9.0.1.19899 **Descrição** Várias vulnerabilidades de injeção de SQL permitem que invasores remotos executem comandos SQL arbitrários por meio do parâmetro `addip` em “cgi-bin/scrut fa exclusions.cgi”, do parâmetro `getPermissionsAndPreferences` em “cgi-bin/login.cgi” ou, possivelmente, de determinados parâmetros em “d4d/alarms.php”, conforme demonstrado pelo parâmetro `search str`. **Recomendações** Para as versões 8.6.2.16204 a 9.0.1.19899, atualize para a versão 9.0.1.19899 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos pontos de extremidade “cgi-bin/scrut fa exclusions.cgi” e “cgi-bin/login.cgi” até que um patch esteja disponível. Evite usar os parâmetros `addip` e `getPermissionsAndPreferences` nos pontos de extremidade da API afetados até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Plixer International Scrutinizer NetFlow & sFlow Analyzer, versões 8.6.2.16204 a 9.0.1.19899 **Descrição** Uma vulnerabilidade de cross-site scripting (XSS) permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro `newUser` no arquivo cgi-bin/userprefs.cgi. Isso pode não ser considerado uma vulnerabilidade se um administrador já tiver privilégios para criar scripts arbitrários. **Recomendações** Para as versões 8.6.2.16204 a 9.0.1.19899, atualize para a versão 9.0.1.19899 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao arquivo cgi-bin/userprefs.cgi para minimizar o risco de exploração. Evite usar o parâmetro `newUser` no endpoint da API afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Plixer International Scrutinizer NetFlow and sFlow Analyzer, versões 8.6.2.16204 a 9.0.1.19898 **Descrição** Uma vulnerabilidade de cross-site scripting (XSS) permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio do parâmetro `standalone` no endpoint `cgi-bin/scrut fa exclusions.cgi`. Isso permite que invasores executem scripts maliciosos no navegador da vítima. **Recomendações** Para as versões 8.6.2.16204 a 9.0.1.19898, atualize para a versão 9.0.1.19899 ou posterior para resolver a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso ao endpoint `cgi-bin/scrut fa exclusions.cgi` para minimizar o risco de exploração. Evite usar o parâmetro `standalone` no endpoint afetado até que o problema seja resolvido.

**Name of the Vulnerable Software and Affected Versions** Tableau Server versions 8.0.x through 8.0.6 Tableau Server versions 8.1.x through 8.1.1 **Description** A SQL injection issue allows remote authenticated users to execute arbitrary SQL commands via unspecified vectors. If the guest user is enabled, this can also be exploited by unauthenticated remote attackers. **Recommendations** For Tableau Server versions 8.0.x through 8.0.6, update to version 8.0.7 or later. For Tableau Server versions 8.1.x through 8.1.1, update to version 8.1.2 or later.