Tony Torralba

Uma vulnerabilidade de injeção de SQL pode permitir a gravação arbitrária de arquivos por meio do uso de uma carga de consulta com injeção de SQL em cadeia e do comando `ATTACH DATABASE`. Os invasores podem conseguir acessar e modificar quaisquer dados armazenados no banco de dados, incluindo perfis de desempenho, dados da aplicação Meshery ou configuração do Kubernetes. O projeto Meshery expõe a função `GetMeshSyncResourcesKinds` no endpoint da API “/api/system/meshsync/resources/kinds”. O parâmetro de consulta `order` é usado diretamente para construir uma consulta SQL em `meshync handler.go`.

Uma vulnerabilidade de injeção de SQL pode levar à gravação arbitrária de arquivos por meio do uso de uma carga de consultas empilhadas de injeção de SQL e do comando ATTACH DATABASE. Os invasores podem acessar e modificar quaisquer dados armazenados no banco de dados, como perfis de desempenho, dados do aplicativo Meshery ou qualquer configuração do Kubernetes adicionada ao sistema. O projeto Meshery expõe a função `GetAllEvents` no endpoint da API “/api/v2/events”. O parâmetro de consulta `sort`, lido em `events streamer.go`, é usado diretamente para construir uma consulta SQL em `events persister.go`.

O Owncast é um servidor de streaming de vídeo ao vivo e chat de código aberto, auto-hospedado e descentralizado para um único usuário. O aplicativo Owncast disponibiliza uma API de administrador na URL “/api/admin”. O endpoint “emoji/delete” dessa API permite que administradores excluam emojis personalizados, que são salvos no disco. O parâmetro `name` é obtido da solicitação JSON e anexado diretamente ao caminho do arquivo que aponta para o emoji a ser excluído. Ao usar sequências de traversal de caminho (../), invasores com privilégios administrativos podem explorar esse endpoint para excluir arquivos arbitrários no sistema, fora do diretório de emojis.

Uma vulnerabilidade de injeção de SQL permite que um invasor remoto obtenha informações confidenciais por meio do parâmetro `order` da função `GetMeshSyncResources`. Isso compromete a capacidade do Meshery de gerenciar com segurança infraestruturas e aplicativos baseados no Kubernetes.

The issue concerns a Java Redis client that uses the Netty framework. Prior to version 3.22.0, some messages received from the Redis server contain Java objects that the client deserializes without further validation. Attackers can trick clients into communicating with a malicious server, including specially crafted objects in its responses that, once deserialized by the client, force it to execute arbitrary code. This can be abused to take control of the machine the client is running on.

The issue allows attackers to capture Bitbucket credentials stored in Jenkins by sending a crafted webhook payload. This is possible because the plugin trusts values provided in the webhook payload, including certain URLs, and uses configured Bitbucket credentials to connect to those URLs.

The Aerospike Java client has a vulnerability related to the deserialization of Java objects received from the server. Attackers can trick clients into communicating with a malicious server, which can include crafted objects in its responses that force the client to execute arbitrary code when deserialized. This can be abused to take control of the machine the client is running on. The issue is related to the `ObjectInputStream` used in the `Buffer.bytesToObject` method, which deserializes objects from the message bytes without proper validation.

The issue allows attackers with Item/Build permission to have Jenkins parse a crafted HTTP request with XML data that uses external entities for extraction of secrets from the Jenkins controller or server-side request forgery. This is due to the plugin not configuring its XML parser to prevent XML external entity (XXE) attacks.

The issue allows attackers with Item/Configure permission to send emails with arbitrary files from the Jenkins controller file system. This is due to the lack of restriction on the path of attached files in the Polyspace Notification post-build step.

The issue allows attackers with Item/Read permission to obtain the contents of arbitrary files on the Jenkins controller file system due to the lack of restriction on the AWS SQS queue name path parameter in an HTTP endpoint.

The ownCloud Android app has an incomplete fix for a path traversal issue and is vulnerable to two bypass methods. These bypasses may lead to information disclosure when uploading the app's internal files and to arbitrary file write when uploading plain text files, although this is limited by the .txt extension.

The ownCloud Android app is affected by a SQL injection issue in `FileContentProvider.kt`, which can lead to information disclosure. Two databases, `filelist` and `owncloud database`, are impacted. Although the `filelist` database was deprecated in version 3.0, injections affecting `owncloud database` remain relevant as of version 3.0.

O problema decorre da forma como o Apache OFBiz lida com URLs fornecidas por usuários externos não autenticados, tornando-o vulnerável a ataques de negação de serviço por expressão regular (ReDoS).

O problema está relacionado a um ataque de negação de serviço por expressão regular (ReDoS) na forma como o Apache Tapestry lida com tipos de conteúdo. Tipos de conteúdo especialmente criados podem causar um backtracking catastrófico, levando um tempo exponencial para ser concluído, devido à expressão regular usada no parâmetro da classe `org.apache.tapestry5.http.ContentType`. Essa vulnerabilidade não pode ser acionada apenas por solicitações da web no código do Tapestry e só ocorreria se código não pertencente ao Tapestry passasse entradas externas para o construtor da classe `ContentType`.

A questão está relacionada a um problema de segurança, mas não foram fornecidos detalhes.

A vulnerabilidade permite a execução de código local devido a verificações insuficientes ao obter o projeto do VCS.

**Nome do software vulnerável e versões afetadas: Versões do JetBrains YouTrack anteriores à 2020.6.8801 Descrição: O problema diz respeito à divulgação de informações na visualização de uma tarefa. Recomendações: Para versões anteriores à 2020.6.8801, atualize para a versão 2020.6.8801 ou posterior para resolver o problema.