Devnoscope

**Nome do Software Vulnerável e Versões Afetadas** alf.io versões anteriores a 2.0-M5-2606 **Description** Um problema de escape de sandbox existe no mecanismo de scripts de extensão do alf.io, um sistema de reserva de ingressos de código aberto. Um administrador autenticado pode executar comandos arbitrários do sistema operacional no servidor. O sistema utiliza um ambiente Rhino sandboxed para executar JavaScript restrito; no entanto, uma lista de bloqueio AST (Abstract Syntax Tree) incompleta e um objeto Java injetado não protegido `returnClass` permitem que o sandbox seja ignorado usando reflexão Java. Esta falha pode ser acionada através da Extensions API. **Recommendations** Atualizar para a versão 2.0-M5-2606.

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões anteriores a 1.26.2 Forgejo versões anteriores a 1.26.2 **Description** Uma falha de controle de acesso existe no registro de contêineres e no tratamento de pacotes Composer. O problema permite que invasores remotos não autenticados extraiam imagens de contêineres privadas e visualizem links de origem de pacotes Composer privados ou internos. Isso ocorre porque o sistema não aplica corretamente a flag de privacidade e carece de verificações de permissão suficientes ao renderizar ou servir metadados de origem de pacotes. Um invasor pode explorar isso consultando endpoints de pacotes Composer ou enviando solicitações anônimas padrão de pull Docker/OCI para a API do registro. Esta falha persistiu por quase quatro anos e afeta potencialmente mais de 30.000 implantações em todo o mundo, incluindo aproximadamente 4.000 sistemas de produção em grandes plataformas de nuvem. A exposição desses dados pode levar à divulgação de informações sensíveis, como código-fonte, segredos e detalhes de infraestrutura interna. **Recommendations** Atualize o Gitea para a versão 1.26.2. Atualize o Forgejo para a versão 1.26.2. Como solução temporária, habilite a configuração `REQUIRE SIGNIN VIEW` para impor a autenticação no acesso a todo o conteúdo.