Zszsec

A flaw has been found in DbGate up to 7.2.5-beta.5. This affects an unknown function of the file packages/api/src/controllers/runners.js of the component JSON Runner. Executing a manipulation of the argument comment.text/script.schedule can lead to code injection. The attack may be performed from remote. Upgrading to version 7.2.5-beta.6 mitigates this issue. This patch is called 70e7b6b58e464d7a015ba16e8d7574b420ee4877. Upgrading the affected component is advised. This issue is distinct from CVE-2026-47668.

**Nome do Software Vulnerável e Versões Afetadas** DbGate versões anteriores a 7.2.6 DbGate versões anteriores a 7.3.2-premium-beta.1 **Description** Um problema de path traversal existe no endpoint files-style. Atacantes remotos podem manipular o argumento `filePath/uri` utilizado pela função `fs.readFile()` no arquivo `packages/api/src/controllers/files.js` para acessar arquivos não autorizados no sistema. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Apache NiFi versão 2.11.0 **Description** Uma falha de autorização existe nos métodos da API REST utilizados para listar fontes de migração e enviar solicitações de migração ao mover conteúdos de um Process Group controlado por versão para um Connector. O sistema verificava permissões apenas para o Connector de destino, sem avaliar os direitos de acesso aos Process Groups envolvidos. Isso permite que um usuário autenticado com acesso de leitura a um Connector enumere identificadores, nomes e detalhes do registro de fluxo de Process Groups que ele não tem permissão para ler. Além disso, um usuário com acesso de gravação a um Connector pode migrar um Process Group no qual não possui acesso de gravação, copiando a definição do fluxo, ativos referenciados e o estado do componente para o Connector, desativando e renomeando o Process Group de origem. Este problema não afeta instalações que não utilizam políticas de autorização em nível de componente para Process Groups. O processo de migração exige que o Process Group de origem esteja parado e com filas vazias, e não inclui valores de propriedades sensíveis. **Recommendations** Atualizar para a versão 2.12.0.