Yuji Tounai

Nome do Software Vulnerável e Versões Afetadas: Versões do iroha Board v0.10.12 e anteriores Descrição: Existe uma vulnerabilidade de falsificação de solicitação entre sites (CSRF). Se um usuário acessar uma URL especialmente elaborada enquanto estiver autenticado no produto afetado, históricos de aprendizagem arbitrários poderão ser registrados. Recomendações: Para as versões do iroha Board v0.10.12 e anteriores, considere desabilitar o acesso à funcionalidade de registro de histórico de aprendizagem até que um patch esteja disponível. Restrinja o acesso ao produto afetado para minimizar o risco de exploração.

Nome do Software Vulnerável e Versões Afetadas: Versões do iroha Board 0.10.12 e anteriores Descrição: O problema está relacionado a uma falha de requisição direta, também conhecida como navegação forçada, que poderia permitir que um atacante que tenha feito login no produto afetado acessasse conteúdo não público. Recomendações: Para as versões 0.10.12 e anteriores, considere restringir o acesso a conteúdo sensível até que uma correção esteja disponível. Como solução temporária, limite as permissões do usuário para minimizar o risco de exploração. Evite usar o produto afetado para armazenamento de informações sensíveis até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Mailform Pro CGI anteriores à 4.3.4 **Descrição** A falha permite que um atacante remoto não autenticado obtenha códigos de cupom devido a mensagens de erro contendo informações sensíveis. Isso afeta apenas produtos que utilizam o recurso de cupom. **Recomendações** Para versões anteriores à 4.3.4, atualize para a versão 4.3.4 ou posterior para resolver a falha. Como solução temporária, considere desativar o recurso de cupom até que uma correção esteja disponível. Restrinja o acesso às mensagens de erro para minimizar o risco de exploração.

Nome do Software Vulnerável e Versões Afetadas: Versões do LuxCal Web Calendar anteriores a 5.3.3M (versão MySQL) Versões do LuxCal Web Calendar anteriores a 5.3.3L (versão SQLite) Descrição: O problema refere-se a uma vulnerabilidade de falta de autenticação no arquivo dloader.php. Esta vulnerabilidade pode ser explorada para obter arquivos arbitrários em um servidor. Recomendações: Para versões anteriores a 5.3.3M (versão MySQL), atualize para a versão 5.3.3M ou posterior. Para versões anteriores a 5.3.3L (versão SQLite), atualize para a versão 5.3.3L ou posterior. Como medida temporária, considere restringir o acesso ao arquivo dloader.php até que uma correção seja aplicada.

Nome do Software Vulnerável e Versões Afetadas: Versões do LuxCal Web Calendar anteriores à 5.3.3M Versões do LuxCal Web Calendar anteriores à 5.3.3L Descrição: O problema refere-se a uma vulnerabilidade de path traversal no arquivo dloader.php. Esta vulnerabilidade pode ser explorada para obter arquivos arbitrários em um servidor. Recomendações: Para versões anteriores à 5.3.3M, atualize para a versão 5.3.3M ou posterior. Para versões anteriores à 5.3.3L, atualize para a versão 5.3.3L ou posterior. Como solução temporária, considere restringir o acesso ao arquivo dloader.php até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** acmailer CGI versões 4.0.5 e anteriores **Descrição** Existe uma vulnerabilidade de cross-site scripting, permitindo que um script arbitrário seja executado no navegador web do usuário que acessou a página de gerenciamento do produto afetado. Isso pode ocorrer quando o usuário acessa a página de gerenciamento, potencialmente levando a ações não autorizadas. **Recomendações** Para as versões 4.0.5 e anteriores, considere desativar o acesso à página de gerenciamento até que uma correção esteja disponível. Restrinja o acesso ao módulo CGI afetado para minimizar o risco de exploração. Evite usar a página de gerenciamento no produto afetado até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** EXIF Viewer Classic versões 2.3.2 a 2.4.0 **Descrição** O problema é causado pelo manuseio inadequado de metadados EXIF, resultando em uma vulnerabilidade de cross-site scripting. Quando uma imagem é renderizada e metadados EXIF manipulados são processados, um script arbitrário pode ser executado no navegador web. **Recomendações** Para as versões 2.3.2 e 2.4.0, considere atualizar para uma versão superior a 2.4.0, pois o produto foi refatorado e a versão 3.0.1 não é vulnerável. Como solução temporária, considere desativar a renderização de metadados EXIF até que um patch esteja disponível. Restrinja o acesso à funcionalidade de renderização de imagens para minimizar o risco de exploração. Evite usar as versões afetadas do EXIF Viewer Classic para processar imagens manipuladas até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Cybozu Garoon, versões 5.0.0 a 6.0.0 **Descrição** A vulnerabilidade permite que um invasor remoto autenticado altere e/ou obtenha os dados do Memo devido a uma falha de autorização incorreta. **Recomendações** Para as versões 5.0.0 a 6.0.0 do Cybozu Garoon, atualize para uma versão que inclua a correção para esta vulnerabilidade. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 3.1.0 a 3.1.8 do a-blog cms **Descrição** Existe uma vulnerabilidade de falsificação de URL que permite que um invasor force o administrador a acessar um site arbitrário ao clicar em um link no registro de auditoria, enviando uma solicitação especialmente criada para esse fim. **Recomendações** Para as versões 3.1.0 a 3.1.8, atualize para uma versão fora desse intervalo para resolver o problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do a-blog cms anteriores à 2.9.1 Versões do a-blog cms 2.9.0 e anteriores Versões do a-blog cms 2.10.x a 2.10.49 Versões do a-blog cms de 2.11.x a 2.11.57 Versões do a-blog cms de 3.0.x a 3.0.28 Versões do a-blog cms de 3.1.x a 3.1.6 **Descrição** A vulnerabilidade permite que um invasor remoto autenticado exclua arquivos arbitrários no servidor devido a uma vulnerabilidade de traversal de caminho relativo. **Recomendações** Para as versões 2.9.0 e anteriores, atualize para a versão 2.9.1 ou posterior. Para as versões 2.10.x a 2.10.49, atualize para a versão 2.10.50 ou posterior. Para as versões 2.11.x a 2.11.57, atualize para a versão 2.11.58 ou posterior. Para as versões 3.0.x a 3.0.28, atualize para a versão 3.0.29 ou posterior. Para as versões 3.1.x a 3.1.6, atualize para a versão 3.1.7 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do a-blog cms anteriores à 3.1.7 Versões do a-blog cms anteriores à 3.0.29 Versões do a-blog cms anteriores à 2.11.58 Versões do a-blog cms anteriores à 2.10.50 Versão 2.9.0 do a-blog cms e anteriores **Descrição** A vulnerabilidade permite que um invasor remoto autenticado execute um script arbitrário no navegador do usuário conectado. Isso se deve a uma vulnerabilidade de cross-site scripting. **Recomendações** Para versões anteriores à 3.1.7, atualize para a versão 3.1.7 ou posterior. Para versões anteriores à 3.0.29, atualize para a versão 3.0.29 ou posterior. Para versões anteriores à 2.11.58, atualize para a versão 2.11.58 ou posterior. Para versões anteriores à 2.10.50, atualize para a versão 2.10.50 ou posterior. Para a versão 2.9.0 e anteriores, atualize para uma versão posterior à 2.9.0.

**Name of the Vulnerable Software and Affected Versions** GROWI versions prior to v6.0.0 **Description** A stored cross-site scripting issue exists in the event handlers of the `pre` tags. If exploited, an arbitrary script may be executed on the web browser of the user who accessed the site using the product. **Recommendations** For GROWI versions prior to v6.0.0, update to version v6.0.0 or later to resolve the issue. As a temporary workaround, consider disabling the event handlers of the `pre` tags until a patch is available. Restrict access to the `pre` tags to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** LuxCal Web Calendar versions prior to 5.2.4M LuxCal Web Calendar versions prior to 5.2.4L **Description** A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user accessing the product. **Recommendations** For versions prior to 5.2.4M, update to version 5.2.4M or later. For versions prior to 5.2.4L, update to version 5.2.4L or later.

**Name of the Vulnerable Software and Affected Versions** LuxCal Web Calendar versions prior to 5.2.4M (MySQL version) LuxCal Web Calendar versions prior to 5.2.4L (SQLite version) **Description** A SQL injection issue allows a remote unauthenticated attacker to execute an arbitrary SQL command by sending a crafted request, potentially obtaining or altering information stored in the database. **Recommendations** For versions prior to 5.2.4M (MySQL version), update to version 5.2.4M or later. For versions prior to 5.2.4L (SQLite version), update to version 5.2.4L or later.

**Name of the Vulnerable Software and Affected Versions** LuxCal Web Calendar versions prior to 5.2.3M LuxCal Web Calendar versions prior to 5.2.3L **Description** The issue allows a remote unauthenticated attacker to execute arbitrary queries against the database and obtain or alter the information in it. This is achieved through a SQL injection vulnerability. **Recommendations** For versions prior to 5.2.3M, update to version 5.2.3M or later to resolve the issue. For versions prior to 5.2.3L, update to version 5.2.3L or later to resolve the issue. As a temporary workaround, consider restricting access to the database to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** LuxCal Web Calendar versions prior to 5.2.3M LuxCal Web Calendar versions prior to 5.2.3L **Description** A cross-site scripting issue allows a remote unauthenticated attacker to execute an arbitrary script on the web browser of the user who is using the product. This enables the attacker to perform actions on the user's web browser, potentially leading to unauthorized access or data theft. **Recommendations** For versions prior to 5.2.3M, update to version 5.2.3M or later to resolve the issue. For versions prior to 5.2.3L, update to version 5.2.3L or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Cybozu Garoon version 5.15.0 **Description** The issue is related to an operation restriction bypass vulnerability in the MultiReport component of Cybozu Garoon, which is associated with inadequate access control. This vulnerability can be exploited by a remote authenticated attacker to alter the data of MultiReport, potentially impacting the integrity of protected information. **Recommendations** For Cybozu Garoon version 5.15.0, consider restricting access to the MultiReport component until a patch is available. As a temporary workaround, disabling the vulnerable functionality in MultiReport may help minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** JB Inquiry form versions 0.6.1 through 0.6.0 JB Inquiry form versions 0.5.2 through 0.5.0 JB Inquiry form version 0.40 **Description** The issue allows a remote unauthenticated attacker to obtain information entered from forms created using the affected product, due to an exposure of private personal information to an unauthorized actor. **Recommendations** For JB Inquiry form versions 0.6.1 through 0.6.0, update to a version that fixes this issue. For JB Inquiry form versions 0.5.2 through 0.5.0, update to a version that fixes this issue. For JB Inquiry form version 0.40, update to a version that fixes this issue.

**Name of the Vulnerable Software and Affected Versions** pgAdmin 4 versions prior to v6.14 **Description** The issue allows a remote unauthenticated attacker to redirect a user to an arbitrary web site, potentially conducting a phishing attack by having the user access a specially crafted URL. **Recommendations** For versions prior to v6.14, update to version v6.14 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** pgAdmin 4 versions prior to v6.19 **Description** The issue is related to a directory traversal vulnerability in pgAdmin 4. This vulnerability can be exploited by a remote attacker to change another user's settings or alter the database. The vulnerability is associated with insufficient restrictions on the path name to a directory with limited access. **Recommendations** For pgAdmin 4 versions prior to v6.19, update to version v6.19 or later to resolve the issue. As a temporary workaround, consider restricting access to sensitive directories and limiting user privileges to minimize the risk of exploitation.