Warisse Valentin

Um problema de path traversal existe na Desktop API, onde a limitação inadequada de um caminho a um diretório restrito permite que atacantes remotos gravem arquivos limitados e realizem ataques limitados de negação de serviço. Path traversal é uma técnica usada para acessar arquivos e diretórios armazenados fora da pasta raiz da web através da manipulação de variáveis que referenciam arquivos com entradas que não são devidamente neutralizadas.

Um problema de server-side request forgery (SSRF) existe na PersonMail API. Isso permite que usuários remotos autenticados obtenham informações não sensíveis. SSRF é uma falha onde um invasor pode induzir o servidor a fazer requisições para um local não pretendido.

Uma neutralização inadequada de entrada durante a geração de páginas web, conhecida como Cross-site Scripting (XSS), ocorre no componente extract domain. Isso permite que usuários remotos autenticados, por meio de interação com a interface do usuário, leiam ou gravem arquivos arbitrários e realizem ataques de negação de serviço no DSM. Este problema também pode expor os usuários ao roubo de sessão, comprometimento de credenciais ou ações não autorizadas dentro do aplicativo.

Uma neutralização inadequada de entrada durante a geração de páginas web, conhecida como Cross-site Scripting (XSS), ocorre no componente extract domain. Isso permite que usuários remotos autenticados leiam ou gravem arquivos restritos e realizem ataques limitados de negação de serviço no DSM por meio de interação com a interface do usuário.

A neutralização inadequada de entradas durante a geração de páginas web leva a um problema de Cross-site Scripting (XSS) na funcionalidade de contatos. Isso permite que usuários remotos autenticados leiam ou escrevam arquivos específicos contendo informações não sensíveis por meio de vetores não especificados.

Uma neutralização inadequada de sequências CRLF, conhecida como CRLF injection, existe na User API. Este problema permite que usuários remotos autenticados leiam ou gravem arquivos arbitrários e realizem ataques de negação de serviço após a reinicialização do sistema. O CRLF injection ocorre quando uma aplicação falha ao filtrar adequadamente os caracteres de Carriage Return (CR) e Line Feed (LF), permitindo que um invasor injete novas linhas no fluxo de saída.