Brian Hysell

**Nome do software vulnerável e versões afetadas** Versões do Palo Alto Networks Expedition anteriores à 1.2.92 **Descrição** A vulnerabilidade está relacionada à ausência de um mecanismo de autenticação para uma função crítica no Palo Alto Networks Expedition, permitindo que um invasor com acesso à rede assuma o controle de uma conta de administrador e, potencialmente, acesse segredos de configuração, credenciais e outros dados. Este problema tem sido ativamente explorado por invasores, e recomenda-se atualizar para a versão mais recente para mitigar os riscos. **Recomendações** Atualize para a versão 1.2.92 ou posterior do Palo Alto Networks Expedition para corrigir a vulnerabilidade de falta de autenticação. Como solução alternativa temporária, considere restringir o acesso ao servidor Expedition para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins CLIF Performance Testing, versões 64.vc0d66de1dfb f e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de gravação arbitrária de arquivos. Essa vulnerabilidade permite que invasores com permissão de Acesso Total/Leitura criem ou substituam arquivos arbitrários no sistema de arquivos do controlador Jenkins por conteúdo especificado pelo invasor. A vulnerabilidade se deve a uma restrição incorreta de um caminho de diretório com acesso limitado. **Recomendações** Para as versões 64.vc0d66de1dfb f e anteriores do Jenkins CLIF Performance Testing Plugin, atualize para uma versão que contenha uma correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Plugin Jenkins Nested View, versões 1.20 e anteriores **Descrição** O problema decorre do fato de o plugin Jenkins Nested View não configurar seu transformador XML para impedir ataques de entidade externa XML (XXE). Isso permite que invasores capazes de configurar visualizações façam com que o Jenkins analise uma definição XML de visualização maliciosa, utilizando entidades externas para extrair segredos do controlador do Jenkins ou para falsificação de solicitações no lado do servidor. **Recomendações** Para o Jenkins Nested View Plugin versões 1.20 e anteriores, atualize para a versão 1.21 ou posterior, que desativa a resolução de entidades externas para seu transformador XML.