Arthurgervais

**Nome do Software Vulnerável e Versões Afetadas** Fleet versões anteriores a 4.82.0 **Descrição** Uma falha no fluxo de inscrição do Windows MDM permite que tokens de autenticação de qualquer locatário (tenant) do Azure AD sejam aceitos. O software valida as assinaturas JWT (JSON Web Token) usando o endpoint JWKS multi-tenant da Microsoft, mas não impõe as reivindicações `aud` (audience) ou `iss` (issuer). Consequentemente, qualquer token de acesso do Azure AD assinado pela Microsoft que contenha os escopos esperados pode ser usado para se autenticar nos endpoints de MDM. Um invasor com acesso a qualquer locatário do Azure AD pode usar um token válido para inscrever dispositivos não autorizados e interagir com as APIs de gerenciamento de MDM. Além disso, segredos de inscrição sensíveis incorporados em cargas úteis de comandos MDM podem ser expostos durante o gerenciamento de dispositivos, permitindo acesso não autorizado adicional. **Recomendações** Atualize para a versão 4.82.0. Como solução temporária, desative o Windows MDM.

**Name of the Vulnerable Software and Affected Versions** ERP versions up to 15.98.0 ERP versions 16.0.0-rc.1 through 16.6.0 **Description** Certain API endpoints in ERP lacked proper access validation, potentially allowing unauthorized access to documents. The issue affects versions up to 15.98.0 and 16.0.0-rc.1 through 16.6.0. The lack of authorization on APIs could allow unauthenticated attackers to access sensitive documents. **Recommendations** Update to version 15.98.1 or later. Update to version 16.6.1 or later.

**Name of the Vulnerable Software and Affected Versions** vLLM versions 0.10.1 through 0.13.x **Description** vLLM is an inference and serving engine for large language models (LLMs). The software loads Hugging Face `auto map` dynamic modules during model resolution without verifying `trust remote code`. This allows attacker-controlled Python code within a model repository or path to execute when the server starts. An attacker who can control the model repository or path can achieve arbitrary code execution on the vLLM host during model loading. This occurs before any request handling and does not require API access. The `auto map` resolution in `vllm/model executor/models/registry.py` and the execution of code through `get class from dynamic module` in `vllm/transformers utils/dynamic module.py` are relevant to this issue. **Recommendations** Upgrade to vLLM version 0.14.0 or later. Audit any custom Hugging Face models loaded in your ML pipeline.

**Name of the Vulnerable Software and Affected Versions** Docmost versions 0.3.0 through 0.23.2 **Description** Docmost is collaborative wiki and documentation software. Versions 0.3.0 through 0.23.2 are susceptible to stored Cross-Site Scripting (XSS) due to improper sanitization when rendering Mermaid code blocks. The `mermaid.render()` function is used to render diagrams, and the resulting SVG/HTML is injected into the Document Object Model (DOM) using `dangerouslySetInnerHTML` without appropriate sanitization. Mermaid’s `%%{init}%%` directives can override security settings and enable HTML labels, allowing arbitrary HTML and JavaScript execution for anyone viewing the diagrams. **Recommendations** Update to version 0.24.0 or later.

**Nome do Software Vulnerável e Versões Afetadas** Flowise versões 3.0.5 e anteriores **Descrição** O endpoint `forgot-password` retorna informações sensíveis, incluindo um `tempToken` de redefinição de senha válido, sem exigir autenticação ou verificação. Isso permite que um invasor remoto gere um token de redefinição para qualquer usuário e redefina sua senha, levando ao controle total da conta (ATO). Este problema afeta tanto o serviço em nuvem (`cloud.flowiseai.com`) quanto implantações auto-hospedadas ou locais. Especificamente, o endpoint '/api/v1/account/forgot-password' aceita um endereço de e-mail e responde com detalhes do usuário e um `tempToken`, que pode então ser usado no endpoint '/api/v1/account/reset-password' para alterar a senha. Mais de 11.000 instâncias vulneráveis foram identificadas. **Recomendações** Atualize para a versão 3.0.6. Não retorne tokens de redefinição ou detalhes confidenciais da conta em respostas de API; envie os tokens apenas através do e-mail registrado. Configure o endpoint `forgot-password` para responder com uma mensagem de sucesso genérica para evitar a enumeração de usuários. Implemente uma validação rigorosa para o `tempToken`, garantindo que seja de uso único, tenha expiração curta, esteja vinculado à origem da solicitação e seja validado em relação à entrega do e-mail. Registre e monitore as solicitações de redefinição de senha para atividades suspeitas. Implemente a verificação de múltiplos fatores para contas sensíveis.