Dninh

**Nome do Software Vulnerável e Versões Afetadas** SOGo versão 5.12.7 **Descrição** Um problema na funcionalidade de gerenciamento da Lista de Controle de Acesso permite que usuários autenticados extraiam dados arbitrários do banco de dados. Isso é feito injetando subconsultas SQL por meio do parâmetro `uid` do endpoint "/addUserInAcls". Atacantes podem usar código SQL malicioso para gravar dados extraídos na tabela `sogo acl` e posteriormente recuperá-los via API "/acls", estabelecendo um canal de exfiltração de dados out-of-band. **Recomendações** Como medida paliativa temporária, restrinja o acesso ao endpoint "/addUserInAcls" ou evite o uso do parâmetro `uid` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** SmarterTools SmarterMail versões anteriores a 9560 **Descrição** Um problema no endpoint de API '/api/v1/report/summary/{type}' permite que usuários autenticados realizem a inclusão de arquivos locais, possibilitando a leitura de arquivos .json arbitrários no sistema. Isso pode ser combinado com chaves codificadas e algoritmos de criptografia fracos para descriptografar e acessar senhas armazenadas e segredos de 2FA de todos os usuários. **Recomendações** Atualize para a build 9560 ou posterior. Restrinja o acesso ao endpoint de API '/api/v1/report/summary/{type}' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** MailEnable Enterprise Premium versões anteriores a 10.56 **Descrição** Uma autorização inadequada no portal móvel WebAdmin permite que invasores ignorem as verificações de autenticação reutilizando cookies `AuthenticationToken` gerados para usuários de baixo privilégio. Um invasor pode obter um token no endpoint 'WebMail login' usando o parâmetro `PersistentLogin` e reproduzi-lo no portal WebAdmin para realizar ações administrativas de alto privilégio. **Recomendações** Atualize para uma versão posterior à 10.55.