Alex Birsan

**Nome do software vulnerável e versões afetadas: Versões do Bundler de 1.16.0 a 2.2.9 Versões do Bundler de 2.2.11 a 2.2.17 Python/pip (versões afetadas não especificadas) .NET/NuGet (versões afetadas não especificadas) Java/Maven (versões afetadas não especificadas) JavaScript/npm (versões afetadas não especificadas) Descrição: A vulnerabilidade permite que um invasor insira um pacote malicioso no repositório de um gerenciador de pacotes, o que pode levar à execução remota de código. Isso pode afetar vários gerenciadores de pacotes em diferentes linguagens. Um invasor pode criar um pacote malicioso com um número de versão alto e publicá-lo em um repositório público, fazendo com que máquinas vulneráveis o baixem e instalem. O ataque pode ocorrer em vários níveis, incluindo máquinas de desenvolvedores, equipes, pipelines de integração contínua e clientes. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Recomendações: Para as versões 1.16.0 a 2.2.9 e 2.2.11 a 2.2.17 do Bundler, reconfigure as ferramentas de instalação e os fluxos de trabalho para priorizar gems privadas em detrimento das públicas. Para Python/pip, reconfigure o gerenciador de pacotes para evitar confusão de dependências. Para .NET/NuGet, reconfigure o gerenciador de pacotes para evitar confusão de dependências. Para Java/Maven, reconfigure o gerenciador de pacotes para evitar confusão de dependências. Para JavaScript/npm, reconfigure o gerenciador de pacotes para evitar confusão de dependências. Como solução temporária, considere restringir o acesso a repositórios de pacotes públicos até

**Name of the Vulnerable Software and Affected Versions** GNOME librsvg versions prior to commit c6ddf2ed4d768fd88adbea2b63f575cd523022ea **Description** The issue is related to improper input validation in the rsvg-io.c file, which can lead to the leakage of a victim's Windows username and NTLM password hash to remote attackers through SMB. This can be exploited by processing a specially crafted SVG file containing a UNC path on Windows. The vulnerability is associated with an error in input data validation, allowing a remote attacker to intercept the victim's Windows username and NTLM password hash via SMB. **Recommendations** For versions prior to commit c6ddf2ed4d768fd88adbea2b63f575cd523022ea, consider avoiding the processing of SVG files from untrusted sources until a patch is available. As a temporary workaround, restrict access to SMB shares to minimize the risk of exploitation.