Bruhbey

**Nome do Software Vulnerável e Versões Afetadas** Kiteworks versões anteriores a 9.3.0 **Description** Kiteworks é uma rede de dados privada (PDN). Uma Referência Direta Insegura a Objeto (IDOR)—uma falha onde a aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário—existe no Kiteworks Secure Data Forms. Isso permite que um usuário autenticado modifique recursos pertencentes a outros usuários devido a verificações de autorização insuficientes sobre a propriedade do recurso. **Recommendations** Atualize para a versão 9.3.0 ou posterior.

**Name of the Vulnerable Software and Affected Versions** OpenProject versions prior to 17.0.5 OpenProject versions prior to 17.1.2 **Description** OpenProject is a web-based project management software. An attacker can create wiki pages for projects they are not authorized to access by sending an improperly authenticated request. **Recommendations** Update to OpenProject version 17.0.5 or later. Update to OpenProject version 17.1.2 or later.

**Nome do software vulnerável e versões afetadas** Versões da Plataforma XWiki de 13.2-rc-1 a 14.10.20 Versões da Plataforma XWiki de 15.0.0 a 15.5.4 Versões da Plataforma XWiki 15.10.0 Versões da Plataforma XWiki 16.0.0 anteriores à 16.0RC1 **Descrição** A vulnerabilidade permite o acesso aos filtros de notificação de qualquer usuário por meio de uma URL como `<hostname>xwiki/bin/get/XWiki/Notifications/Code/NotificationFilterPreferenceLivetableResults?outputSyntax=plain&type=custom&user=<username>`. Os filtros contêm principalmente referências que são dados públicos no XWiki, mas algumas informações poderiam ser utilizadas em combinação com outras vulnerabilidades. **Recomendações** Para as versões da Plataforma XWiki 13.2-rc-1 a 14.10.20, atualize para a versão 14.10.21 ou posterior. Para as versões da Plataforma XWiki 15.0.0 a 15.5.4, atualize para a versão 15.5.5 ou posterior. Para a versão 15.10.0 da Plataforma XWiki, atualize para a versão 15.10.1 ou posterior. Para as versões da Plataforma XWiki 16.0.0 anteriores à 16.0RC1, atualize para a versão 16.0RC1 ou posterior. Como solução alternativa temporária, um administrador pode editar diretamente o documento `XWiki.Notifications.Code.NotificationFilterPreferenceLivetableResults` para aplicar as mesmas alterações do patch.

**Name of the Vulnerable Software and Affected Versions** XWiki Platform versions 14.0-rc-1 through 14.4.7 XWiki Platform versions 14.0-rc-1 through 14.10.3 XWiki Platform versions 14.0-rc-1 through 14.9.x XWiki Platform version 15.0-rc-1 is not affected, but versions prior to it are **Description** The issue is related to errors in authorization, allowing a remote attacker to edit arbitrary documents. An attacker with edit access on any document can move any attachment of any other document to this attacker-controlled document, accessing and possibly publishing any attachment of which the name is known, regardless of view or edit rights on the source document. The attachment is deleted from the source document. **Recommendations** For XWiki Platform versions 14.0-rc-1 through 14.4.7, upgrade to version 14.4.8. For XWiki Platform versions 14.0-rc-1 through 14.10.3, upgrade to version 14.10.4. For XWiki Platform versions 14.0-rc-1 through 14.9.x, upgrade to a fixed version. As a temporary workaround, consider restricting access to the attachment move feature until a patch is available.