Wernerina

**Nome do Software Vulnerável e Versões Afetadas** Argo Workflows versões 4.0.0 a 4.0.4 **Descrição** Uma desreferência de ponteiro nulo (nil pointer dereference) na função `rbacAuthorization()` em `server/auth/gatekeeper.go` pode causar a negação de serviço para usuários de SSO. Isso ocorre quando a variável `SSO DELEGATE RBAC TO NAMESPACE` está definida como `true` e as reivindicações (claims) de um usuário correspondem a uma regra de RBAC no nível do namespace, mas não a uma regra de namespace de SSO. Especificamente, quando a função `getServiceAccount(claims, ssoNamespace)` retorna nulo, a variável `loginAccount` permanece nula; se uma `namespaceAccount` correspondente for encontrada, a função `precedence()` é chamada com o `loginAccount` nulo, causando um pânico ao tentar acessar `serviceAccount.Annotations`. **Recomendações** Atualize o Argo Workflows para a versão 4.0.5.

**Name of the Vulnerable Software and Affected Versions** OpenProject versões anteriores a 17.3.0 **Description** A verificação de OTP de autenticação de dois fatores (2FA) na ação 'confirm otp' do módulo `two factor authentication` não possui limitação de taxa, mecanismo de bloqueio ou rastreamento de tentativas malsucedidas. A configuração `brute force block after failed logins` conta apenas falhas de login por senha e não se aplica à etapa de 2FA. Além disso, as funções `fail login` e `stage failure` não incrementam contadores, não bloqueiam a conta nem introduzem atrasos. Como a janela de derivação padrão do Time-based One-Time Password (TOTP) de ±60 segundos permite vários códigos válidos simultaneamente, um invasor com a senha do usuário pode realizar ataques de força bruta no código TOTP de 6 dígitos. O mesmo problema afeta a verificação de códigos de backup, permitindo potencialmente a bypass completa do 2FA. **Recommendations** Atualizar para a versão 17.3.0.

Name of the Vulnerable Software and Affected Versions Kedro versões anteriores a 1.3.0 Description Kedro está suscetível a um problema crítico de Execução Remota de Código (RCE) decorrente do uso inseguro de `logging.config.dictConfig()` com entrada controlada pelo usuário. O software permite definir o caminho do arquivo de configuração de registro através da variável de ambiente `KEDRO LOGGING CONFIG`, carregando-o sem validação adequada. O esquema de configuração de registro suporta uma chave especial `()`, que permite a instanciação de chamáveis arbitrários. Um invasor pode aproveitar isso para executar comandos de sistema arbitrários durante a inicialização do aplicativo. A vulnerabilidade é resolvida implementando a validação para rejeitar a chave de fábrica insegura `()` nas configurações de registro antes de passá-las para `dictConfig()`. Recommendations Atualize para a versão 1.3.0 ou posterior do Kedro. Se a atualização não for possível imediatamente: - Não permita que entradas não confiáveis controlem a variável de ambiente `KEDRO LOGGING CONFIG`. - Restrinja o acesso de gravação aos arquivos de configuração de registro. - Evite usar configurações de registro fornecidas externamente ou geradas dinamicamente. - Valide manualmente o YAML de registro para garantir que ele não contenha a chave `()`.

**Name of the Vulnerable Software and Affected Versions** vLLM versions 0.10.1 through 0.17.x **Description** vLLM is an inference and serving engine for large language models (LLMs). Starting with version 0.10.1 and continuing through version 0.17.x, two model implementation files hardcode `trust remote code=True` when loading sub-components. This bypasses the user’s explicit `--trust-remote-code=False` security setting, potentially enabling remote code execution via malicious model repositories, even when the user has disabled remote code trust. The vulnerability occurs because the system does not respect the user-defined security opt-out. The affected files override the user's setting without any warning or log entry. A malicious Hugging Face repository targeting either architecture can achieve code execution on the inference server. **Recommendations** Versions 0.10.1 through 0.17.x are vulnerable and should be updated to version 0.18.0 or later.