Chocapikk

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões 0.5.4 até 0.7.x **Descrição** Uma falha de bypass de autorização no tratamento de funções da API permite acesso não autenticado a endpoints privilegiados '/api/system/*'. Como `system` é resolvido para a identidade do administrador do cron, invasores podem invocar métodos de API de administrador sem a necessidade de credenciais válidas, sessão ou token CSRF. **Recomendações** Atualizar para a versão 0.8.0. Bloquear o acesso externo a '/api/system/*' no proxy reverso ou Web Application Firewall (WAF). Restringir o acesso à API apenas a IPs de origem confiáveis utilizando a configuração `api.allowed ips`. Rotacionar todos os tokens de API de administradores e clientes imediatamente. Invalidar sessões ativas e redefinir credenciais de alto privilégio. Revisar os logs de requisições da API em busca de acessos suspeitos a '/api/system/'.

**Nome do Software Vulnerável e Versões Afetadas** FOSSBilling versões anteriores a 0.8.0 **Description** Um problema de Server-Side Template Injection (SSTI) existe no sistema de renderização de templates. Administradores com acesso a recursos que renderizam templates Twig — como templates de e-mail, campanhas de e-mail em massa, adaptadores de pagamento personalizados e o endpoint de API `string render` — podem injetar expressões Twig arbitrárias. Isso ocorre porque os templates Twig são renderizados sem um sandbox, concedendo acesso ao ambiente Twig completo, ao contexto da API e ao container de injeção de dependência da aplicação, o que pode levar à divulgação de informações e execução remota de código. A exploração no mundo real foi observada em campanhas direcionadas. **Recommendations** Atualizar para a versão 0.8.0. Auditar templates de e-mail existentes em busca de expressões Twig suspeitas. Rotacionar todos os tokens de API de administradores e clientes. Bloquear o acesso externo ao endpoint `/api/system/*` no proxy reverso ou WAF.

**Nome do Software Vulnerável e Versões Afetadas** Windmill versões anteriores a 1.603.3 Nextcloud Flow versões anteriores a 1.3.0 **Description** Uma falha de salto de caminho (path traversal) sem autenticação existe na plataforma de desenvolvedores Windmill. O problema ocorre no endpoint `/api/w/{workspace}/jobs u/get log file/{filename}`, onde o parâmetro `filename` é concatenado em um caminho de arquivo sem a devida sanitização. Isso permite que um invasor use sequências `../` para ler arquivos arbitrários no servidor. Incidentes reais de exploração ativa foram observados, nos quais a falha foi utilizada para vazar credenciais, acessar o `SUPERADMIN SECRET` e, em alguns casos, obter acesso ao shell de root e execução remota de código. Path traversal é uma técnica utilizada para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web. **Recommendations** Atualize o Windmill para a versão 1.603.3 ou posterior. Atualize o Nextcloud Flow para a versão 1.3.0 ou posterior. Restrinja o acesso ao endpoint `/api/w/{workspace}/jobs u/get log file/{filename}` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do plugin Themify Builder para WordPress anteriores à 7.5.8 **Descrição** O problema está relacionado a uma vulnerabilidade de redirecionamento aberto. Ele ocorre porque um parâmetro não é validado antes de o usuário ser redirecionado para o seu valor. **Recomendações** Para versões anteriores à 7.5.8, atualize para a versão 7.5.8 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Mocodo Mocodo Online versões 4.2.6 e anteriores **Descrição** A vulnerabilidade permite a execução remota de código através do endpoint da API “/web/rewrite.php”. **Recomendações** Para as versões 4.2.6 e anteriores, como solução temporária, considere restringir o acesso ao endpoint da API “/web/rewrite.php” até que uma correção esteja disponível.

**Nome do software vulnerável e versões afetadas** Mocodo Mocodo Online versões 4.2.6 e anteriores **Descrição** O problema decorre da sanitização inadequada do campo de entrada `sql case` no endpoint `/web/generate.php`, permitindo que invasores remotos executem comandos SQL arbitrários e, potencialmente, realizem injeção de comando, o que pode levar à execução remota de código (RCE) sob certas condições. **Recomendações** Para as versões 4.2.6 e anteriores, considere desativar o acesso ao endpoint `/web/generate.php` até que uma correção adequada seja aplicada e certifique-se de que todos os campos de entrada, especialmente `sql case`, sejam devidamente sanitizados para evitar injeção de comando e RCE.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A vulnerabilidade permite que invasores executem código arbitrário por meio do componente ./inc/kiosks.inc. Trata-se de uma vulnerabilidade de Cross Site Scripting. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o acesso ao componente ./inc/kiosks.inc até que uma correção esteja disponível. Restrinja a execução de código arbitrário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versão 9.0 **Descrição** Uma vulnerabilidade de traversal de diretório permite que um invasor remoto execute código arbitrário por meio do parâmetro `page` do componente “kiosk.php”. **Recomendações** Para o DerbyNet versão 9.0, considere restringir o acesso ao componente kiosk.php até que uma correção esteja disponível. Evite usar o parâmetro `page` no componente afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A vulnerabilidade permite que invasores executem código arbitrário por meio do parâmetro `back` no arquivo “playlist.php”. Trata-se de uma vulnerabilidade de Cross Site Scripting. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o acesso ao endpoint “playlist.php” até que uma correção esteja disponível. Evite usar o parâmetro `back` no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** Uma vulnerabilidade de Cross Site Scripting permite que um invasor remoto execute código arbitrário por meio do componente “render-document.php”. Isso permite que o invasor realize ações não autorizadas no sistema afetado. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o componente “render-document.php” até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a este componente para minimizar o risco de execução de código arbitrário.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** Uma vulnerabilidade de Cross Site Scripting permite que invasores executem código arbitrário por meio do componente “checkin.php”. Isso possibilita que invasores realizem ações maliciosas no sistema afetado. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o componente “checkin.php” até que uma correção esteja disponível para impedir a exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A falha permite que invasores executem código arbitrário por meio do componente photo-thumbs.php. Trata-se de uma vulnerabilidade de Cross Site Scripting. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o acesso ao componente photo-thumbs.php até que uma correção esteja disponível. Restrinja a execução de código arbitrário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A falha permite que invasores executem código arbitrário por meio do componente `racer-results.php`. Trata-se de uma vulnerabilidade de Cross Site Scripting. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar o acesso ao componente `racer-results.php` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A vulnerabilidade permite que invasores executem comandos SQL arbitrários por meio do parâmetro `classids` no endpoint “ajax/query.slide.next.inc”. Isso permite que invasores manipulem consultas ao banco de dados, o que pode levar ao acesso ou à modificação não autorizada de dados. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, como solução temporária, considere restringir o acesso ao endpoint “ajax/query.slide.next.inc” ou desativar o uso do parâmetro `classids` até que uma correção esteja disponível.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** A vulnerabilidade permite que um invasor remoto execute código arbitrário por meio da cláusula `WHERE` no módulo Racer Document Rendering. Trata-se de uma vulnerabilidade de injeção de SQL. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, considere desativar a cláusula WHERE no Racer Document Rendering até que um patch esteja disponível. Restrinja o acesso ao módulo Racer Document Rendering para minimizar o risco de exploração. Evite usar a cláusula WHERE no processo de renderização afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** DerbyNet versão 9.0 **Descrição** A falha permite que um invasor remoto execute código arbitrário por meio da cláusula `WHERE` na renderização do documento de adjudicação. Trata-se de uma vulnerabilidade de injeção de SQL. **Recomendações** Para o DerbyNet versão 9.0, considere desativar a funcionalidade da cláusula WHERE na renderização de documentos de adjudicação até que um patch esteja disponível. Restrinja o acesso ao módulo print/render/award.inc para minimizar o risco de exploração. Evite usar a cláusula WHERE no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DerbyNet versões 9.0 e anteriores **Descrição** Uma vulnerabilidade de Cross Site Scripting permite que um invasor remoto execute código arbitrário por meio do componente `photo.php`. Isso permite que o invasor realize ações não autorizadas no sistema afetado. **Recomendações** Para as versões 9.0 e anteriores do DerbyNet, como solução temporária, considere desativar o acesso ao componente `photo.php` até que uma correção esteja disponível. Restringir o acesso a esse componente pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Nome do software vulnerável e versões afetadas: WWBN AVideo, versões 12.4 a 14.2 Descrição: A vulnerabilidade no WWBN AVideo está relacionada à validação insuficiente de entradas no arquivo submitIndex.php do plugin WWBNIndex, permitindo que um invasor remoto execute código arbitrário por meio do parâmetro `systemRootPath`. Isso pode ser feito enviando uma solicitação POST especialmente criada. Aproximadamente 2.355 dispositivos estão potencialmente afetados, localizados principalmente nos Estados Unidos e na Alemanha. Recomendações: Para as versões 12.4 a 14.2 do WWBN AVideo, considere desativar o componente `submitIndex.php` ou restringir o acesso a ele até que uma correção esteja disponível. Evite usar o parâmetro `systemRootPath` no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.