Davidmehren

**Nome do software vulnerável e versões afetadas** Versões do HedgeDoc anteriores à 1.9.0 **Descrição** O HedgeDoc é uma plataforma para escrever e compartilhar markdown. Nas versões anteriores à 1.9.0, um invasor não autenticado pode injetar JavaScript arbitrário nas notas do palestrante do recurso de modo de slide, incorporando um iframe que hospeda o código malicioso nos slides ou incorporando a instância do HedgeDoc em outra página. **Recomendações** Para versões anteriores à 1.9.0, atualize para a versão 1.9.0 para resolver o problema. Como solução temporária, considere restringir o uso do recurso de modo de slides até que a atualização seja aplicada. Além disso, evite incorporar a instância do HedgeDoc em outras páginas ou incorporar iframes que hospedam código malicioso nos slides até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas: Versões do HedgeDoc anteriores à 1.5.0 Descrição: A vulnerabilidade afeta o HedgeDoc, um editor colaborativo de Markdown de código aberto, no qual um invasor pode obter arquivos arbitrários do sistema de arquivos ao exportar uma nota para PDF. Essa exploração requer que o invasor tenha a capacidade de modificar uma nota e afeta todas as instâncias com a exportação para PDF habilitada. O impacto é significativo, pois o invasor pode ler o arquivo `config.json` do HedgeDoc e outros arquivos no sistema de arquivos, potencialmente acessando informações confidenciais, credenciais de banco de dados e segredos OAuth. Recomendações: Para versões anteriores à 1.5.0, atualize para a versão 1.5.0 para resolver o problema. Como solução alternativa temporária, considere iniciar a instância do HedgeDoc com `CMD ALLOW PDF EXPORT=false` ou defina `“allowPDFExport”: false` no arquivo `config.json` para mitigar este problema.