Y0N3Er

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0.0-M0 through 3.0.16 Apache Syncope versões 4.0.0-M0 through 4.0.6 Apache Syncope versões 4.1.0-M0 through 4.1.1 **Description** Um problema de isolamento inadequado permite que um administrador com permissões suficientes importe definições de processo BPMN arbitrárias via REST API e inicie o processo. Se o processo BPMN importado contiver um `scriptTask` em Groovy, o script é executado diretamente no servidor sem um sandbox, podendo levar à execução de código arbitrário. **Recommendations** Atualizar as versões 3.0.0-M0 through 3.0.16 para a versão 4.0.7. Atualizar as versões 4.0.0-M0 through 4.0.6 para a versão 4.0.7. Atualizar as versões 4.1.0-M0 through 4.1.1 para a versão 4.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Apache Syncope versões 3.0.0-M0 through 3.0.16 Apache Syncope versões 4.0.0-M0 through 4.0.6 Apache Syncope versões 4.1.0-M0 through 4.1.1 **Description** O isolamento ou compartimentação inadequada no subsistema de conectores permite que um administrador com permissões adequadas execute código remotamente. Isso é possível ao utilizar a capacidade de conectores roteirizados, especificamente REST e SQL, para executar scripts Groovy. **Recommendations** Atualizar as versões 3.0.0-M0 through 3.0.16 para a versão 4.0.7. Atualizar as versões 4.0.0-M0 through 4.0.6 para a versão 4.0.7. Atualizar as versões 4.1.0-M0 through 4.1.1 para a versão 4.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Apache Syncope 3.0 até 3.0.15 Versões do Apache Syncope 4.0 até 4.0.3 **Descrição** Existe uma vulnerabilidade no Console do Apache Syncope na qual um administrador com privilégios suficientes para criar ou editar parâmetros do Keymaster pode construir texto XML malicioso para executar um ataque de Entidade Externa XML (XXE). Isso pode resultar no vazamento de dados sensíveis. **Recomendações** Atualize para a versão 3.0.16 do Apache Syncope Atualize para a versão 4.0.4 do Apache Syncope

**Nome do software vulnerável e versões afetadas** phpok versão 6.4.003 **Descrição** O problema está relacionado a uma vulnerabilidade de Cross Site Scripting (XSS). Ela afeta o método `ok f()` localizado no arquivo `framework/api/upload control.php`. **Recomendações** Para a versão 6.4.003 do phpok, considere desativar o método `ok f()` até que uma correção esteja disponível para evitar possíveis explorações.