Dmitry Kuramin

**Nome do software vulnerável e versões afetadas** Solar appScreener versões 3.10.4 e anteriores **Descrição** A vulnerabilidade permite ataques XXE e SSRF por meio de um documento XML malicioso quando não há uma licença válida. **Recomendações** Para as versões 3.10.4 e anteriores do Solar appScreener, certifique-se de que haja uma licença válida para evitar ataques XXE e SSRF. Como solução temporária, considere restringir o processamento de documentos XML maliciosos até que uma correção esteja disponível. Evite usar o aplicativo sem uma licença válida para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Cliente do terminal Sovremennye Delovye Tekhnologii FX Aggregator, versão 1 Descrição: A vulnerabilidade permite que invasores provoquem uma negação de serviço ao realizar cinco tentativas inválidas de login na conta da vítima, resultando na suspensão do acesso por cinco horas. Isso pode ser feito explorando o mecanismo de login, especificamente ao tentar fazer login com credenciais incorretas várias vezes. Recomendações: Para o cliente de terminal Sovremennye Delovye Tekhnologii FX Aggregator versão 1, considere implementar uma solução alternativa temporária, como limitar o número de tentativas consecutivas de login inválidas ou introduzir um período de espera entre as tentativas para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sistema de monitoramento de caixas eletrônicos Lan ATMService M3, versão 6.1.0 **Descrição** Uma falha na listagem de diretórios permite que um invasor remoto visualize os arquivos de log localizados em `/websocket/logs/`, que contêm os valores dos cookies dos usuários e o valor do cookie predefinido do desenvolvedor. **Recomendações** Para o Sistema de Monitoramento de ATM Lan ATMService M3 versão 6.1.0, considere restringir o acesso ao diretório `/websocket/logs/` para impedir a visualização não autorizada dos arquivos de log até que uma correção esteja disponível. Como solução alternativa temporária, restrinja o acesso ao módulo `websocket` vulnerável para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Sistema de monitoramento de caixas eletrônicos Lan ATMService M3, versão 6.1.0 **Descrição** A vulnerabilidade permite que um invasor remoto assuma o controle do sistema devido a um tempo de expiração de sessão insuficiente. Isso pode ser feito utilizando um valor de cookie padrão, como `PHPSESSID=LANIT-IMANAGER`. **Recomendações** Para o Sistema de Monitoramento de ATM Lan ATMService M3 versão 6.1.0, considere alterar o valor padrão do cookie para um valor único e seguro, a fim de impedir o acesso não autorizado. Como solução temporária, restrinja o acesso ao sistema até que uma correção esteja disponível. Evite usar o valor padrão `PHPSESSID` no sistema afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Click Studios Passwordstate versão 8.9 (Build 8973) **Descrição** Uma falha de segurança permite que um invasor remoto realize um ataque de força bruta contra um código PIN de 4 dígitos gerado pelo gerador integrado para acesso a dispositivos móveis. Isso pode resultar no invasor obtendo acesso a todas as senhas disponíveis para a conta afetada. **Recomendações** Para o Click Studios Passwordstate versão 8.9 (Build 8973), considere desativar temporariamente o recurso de código PIN para acesso por dispositivos móveis até que uma correção esteja disponível. Restrinja o acesso a dados confidenciais de senhas para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.