Zhaokaifei

**Nome do Software Vulnerável e Versões Afetadas** Apache Hive versões anteriores a 4.2.1 **Description** Um invasor remoto autenticado com privilégios de CREATE TABLE pode executar um Server-Side Request Forgery (SSRF) durante a resolução de esquema do Avro SerDe. Ao definir a propriedade de tabela `avro.schema.url` em uma tabela Avro, o invasor pode forçar o servidor Hive a buscar uma URL sob seu controle quando a tabela for consultada. Isso pode levar à exposição de arquivos do servidor local, serviços de rede interna ou metadados de instâncias em nuvem para a identidade do processo Hive. O ataque requer acesso de rede ao HiveServer2 ou ao Metastore e autenticação válida. **Recommendations** Atualizar para a versão 4.2.1.

**Nome do Software Vulnerável e Versões Afetadas** Apache InLong versões 2.0.0 até 2.3.x **Description** Um problema de injeção de SQL existe onde a neutralização inadequada de elementos especiais em um comando SQL permite que um invasor injete código SQL arbitrário. Isso é alcançado por meio de concatenação de strings usando os parâmetros `dbName`, `tableName`, `schemaName` e `username`. **Recommendations** Atualizar para a versão 2.4.0.

**Nome do Software Vulnerável e Versões Afetadas** Apache Shiro versões anteriores a 2.2.1 Apache Shiro versões anteriores a 3.0.0-alpha-2 **Description** Um invasor remoto pode injetar caracteres especiais LDAP na construção do Distinguished Name (DN) dentro da classe `DefaultLdapRealm`. A entrada de nome de usuário fornecida pelo usuário é concatenada diretamente no modelo de DN LDAP sem a neutralização de caracteres especiais da RFC 2253. Isso permite que um invasor manipule a estrutura do DN usada para a autenticação de bind LDAP, potencialmente resultando em bypass de autenticação ou personificação de outros usuários. **Recommendations** Atualize para a versão 2.2.1 ou posterior. Atualize para a versão 3.0.0-alpha-2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Apache OFBiz versões anteriores a 24.09.06 **Description** A neutralização inadequada de elementos especiais usados em uma consulta LDAP, também conhecida como LDAP Injection, permite a ignorar a autenticação devido à neutralização inadequada de elementos especiais de LDAP na construção do DN. O LDAP Injection ocorre quando uma aplicação não sanitiza adequadamente a entrada fornecida pelo usuário antes de utilizá-la em uma consulta ao Lightweight Directory Access Protocol (LDAP), permitindo potencialmente que um invasor manipule a lógica da consulta. **Recommendations** Atualizar para a versão 24.09.06.