Cu64

**Nome do Software Vulnerável e Versões Afetadas** Lumiverse versões anteriores a 0.9.7 **Descrição** A função `consumeNonce()` apenas verifica se uma variável de nível de módulo está definida e não expirou, falhando ao validar valores da requisição HTTP recebida ou ao vincular o nonce à sessão do administrador. Se uma chamada `auth.api.signUpEmail()` falhar antes da execução do hook before—como quando o BetterAuth rejeita um e-mail duplicado—o nonce permanece definido, mas não é consumido. Isso permite que qualquer requisição POST para o endpoint '/api/auth/sign-up/email' que chegue dentro da janela de 10 segundos seja registrada com sucesso, independentemente de quem a enviou. Um invasor capaz de prever ou observar quando um administrador tenta criar um usuário duplicado pode explorar essa condição de corrida para registrar uma conta não autorizada. **Recomendações** Atualizar para a versão 0.9.7.

**Nome do Software Vulnerável e Versões Afetadas** Lumiverse versões anteriores a 0.9.7 **Description** O pipeline de build da extensão Spindle executa `bun install` sem a flag `--ignore-scripts` antes de realizar a varredura de segurança estática do backend através da função `assertSafeBackendBundle()`. Isso permite que uma extensão maliciosa contendo um arquivo `package.json` com scripts de ciclo de vida `preinstall`, `postinstall` ou `prepare` alcance a execução de código no nível do host no momento em que um administrador inicia o processo de instalação, ocorrendo antes que qualquer arquivo de distribuição seja inspecionado. **Recommendations** Atualizar para a versão 0.9.7.

**Nome do Software Vulnerável e Versões Afetadas** Lumiverse versões anteriores a 0.9.7 **Description** Existe um problema onde a aplicação falha ao validar adequadamente o basename de um caminho quando a função `toSmbPath(fullPath)` lança uma exceção. Neste cenário de fallback, o basename é concatenado diretamente em um script `smbclient -c`. Como o `smbclient` interpreta o ponto e vírgula (;) como um separador de subcomandos e o ponto de exclamação (!) como um escape de shell local, um invasor pode fornecer um caminho com um basename malicioso para alcançar a execução arbitrária de comandos no servidor. **Recommendations** Atualizar para a versão 0.9.7.

**Nome do Software Vulnerável e Versões Afetadas** Lumiverse versões anteriores a 0.9.7 **Description** Existe um problema no endpoint de criação do servidor MCP onde o campo `command` é validado contra uma lista de permissões de nomes de binários, mas a array `args` é encaminhada para o processo filho sem validação. Como os binários na lista de permissões suportam flags de execução de código inline (como `-e` para node/bun e `-c` para python3/deno), qualquer usuário autenticado pode obter a execução arbitrária de código no nível do sistema operacional no servidor. A rota requer apenas `requireAuth` e não requer `requireOwner`. Além disso, o servidor vincula-se a todas as interfaces (::), e a verificação de re-vinculação do cabeçalho host pode ser ignorada enviando `Host: localhost:<port>`, permitindo a exploração a partir de qualquer máquina com acesso de rede à porta do servidor. **Recommendations** Atualize o Lumiverse para a versão 0.9.7.

**Nome do Software Vulnerável e Versões Afetadas** Lumiverse versões anteriores a 0.9.7 **Description** O sistema de anulação de componentes transpila TSX fornecido pelo usuário usando Sucrase e o avalia via `new Function`. Para evitar a execução maliciosa, o sistema tenta ocultar globais perigosos, como `fetch`, `window` e `eval`, definindo-os como undefined, e utiliza um validador de código fonte estático, `validateComponentOverrideSource()`, para bloquear esses identificadores usando regex de limite de palavra. No entanto, ambos os controles podem ser eludidos. O validador estático pode ser evitado reconstruindo identificadores bloqueados a partir de fragmentos de string em tempo de execução. Além disso, um escape de sandbox é possível usando `useRef` e `useEffect`; ao anexar uma referência a um elemento renderizado, um invasor pode obter um nó DOM ativo e acessar o objeto window real via `node['ownerDoc'+'ument']['def'+'aultView']`. Isso permite a execução de código arbitrário em uma sessão autenticada quando a vítima importa e habilita um pacote de tema malicioso (.lumitheme ou .lumiverse-theme) no Editor de Temas. **Recommendations** Atualize o Lumiverse para a versão 0.9.7.