Xoffense

**Nome do software vulnerável e versões afetadas** Versões do eLabFTW anteriores à 4.0.0 **Descrição** Esta vulnerabilidade afeta um caderno de laboratório eletrônico de código aberto destinado a laboratórios de pesquisa, permitindo que um invasor faça solicitações GET em nome do servidor. O ataque é “cego” porque o invasor não consegue ver o resultado da solicitação. **Recomendações** Para versões anteriores à 4.0.0, atualize para a versão 4.0.0 para resolver o problema.

**Nome do software vulnerável e versões afetadas** FUDForum versão 3.1.0 **Descrição** Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem código JavaScript através do endpoint “index.php” no parâmetro `srch`. **Recomendações** Para o FUDForum versão 3.1.0, considere desativar o parâmetro `srch` no endpoint “index.php” até que uma correção esteja disponível. Restrinja o acesso ao endpoint “index.php” para minimizar o risco de exploração. Evite usar o parâmetro `srch` no endpoint afetado até que a vulnerabilidade seja resolvida.

**Nome do software vulnerável e versões afetadas** FUDForum versão 3.1.0 **Descrição** Uma vulnerabilidade de script entre sites (XSS) permite que invasores remotos injetem código JavaScript através do endpoint “index.php” no parâmetro `author`. **Recomendações** Para o FUDForum versão 3.1.0, como solução temporária, considere restringir o acesso ao endpoint “index.php” ou sanitizar o parâmetro `author` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Products.PluggableAuthService anteriores à 2.6.1 **Descrição** O problema é uma vulnerabilidade de redirecionamento aberto, na qual um link criado de forma maliciosa para o formulário de login e a funcionalidade de login poderia redirecionar o navegador para um site diferente. **Recomendações** Para versões anteriores à 2.6.1, atualize para a versão 2.6.1 alterando o pin da versão do buildout para `2.6.1` e executando novamente o buildout, ou usando `pip install “Products.PluggableAuthService>=2.6.1”`.