Venukamatchi

**Nome do Software Vulnerável e Versões Afetadas** Nodemailer versões anteriores a 8.0.8 **Description** O Nodemailer desativa a verificação de certificado TLS em seu cliente fetch HTTPS interno localizado em `lib/fetch/index.js` ao definir `rejectUnauthorized: false`. Essa configuração faz com que as solicitações de token OAuth2 confiem em certificados HTTPS inválidos ou autoassinados, ignorando a validação de nome de host e a verificação da cadeia de CA. Consequentemente, um invasor em uma posição de machine-in-the-middle pode interceptar credenciais OAuth sensíveis transmitidas por conexões HTTPS comprometidas, incluindo o `client secret`, `refresh token` e tokens de acesso. **Recommendations** Atualize o Nodemailer para a versão 8.0.8 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Open Source Point of Sale (opensourcepos) versions prior to 3.4.2 **Description** The application is a web-based point of sale system written in PHP using the CodeIgniter framework. A security issue exists where an authenticated user with limited privileges can access the password change functionality for other users, including administrators. This is possible by manipulating the `employee id` parameter without proper authorization checks or verification of object ownership. The application does not verify that the current user has permission to modify the account associated with the specified `employee id`. Version 3.4.2 introduces object-level authorization checks to validate ownership of the `employee id` being accessed. **Recommendations** Versions prior to 3.4.2 should be updated to version 3.4.2 or later.