Tepel-Chen

**Nome do Software Vulnerável e Versões Afetadas** hackney versões 0 a 4.0.0 **Descrição** A Neutralização Imprópria de Sequências CRLF permite a Divisão de Requisição HTTP (HTTP Request Splitting). O software não realiza a codificação percentual (percent-encode) de caracteres de retorno de carro (`r`) ou alimentação de linha (` `) no componente de consulta da URL antes de construir o alvo da requisição HTTP/1.1. Especificamente, a função `hackney url:make url/3` passa o binário da consulta diretamente sem validação ou escape, violando a seção 3.4 da RFC 3986. Um atacante que controle parte de uma URL pode injetar sequências CRLF brutas na string de consulta, permitindo a injeção de cabeçalhos HTTP arbitrários ou a divisão da requisição HTTP. **Recomendações** Atualizar para a versão 4.0.1.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Frappe anteriores a 16.11.0 e 15.102.0 **Descrição** Existe uma falha no Frappe que permite a um atacante injetar código malicioso por meio de uma URL de imagem manipulada. Isso pode resultar em Cross-Site Scripting (XSS) quando o avatar de um usuário é exibido. O problema pode ser acionado para outros usuários por meio de comentários em páginas do site. **Recomendações** Atualize para a versão 16.11.0 ou posterior. Atualize para a versão 15.102.0 ou posterior.