Firudin Davudzada

**Nome do Software Vulnerável e Versões Afetadas** GNU Mailman versão 2.1.39 **Descrição** A falha permite que atacantes não autenticados executem comandos arbitrários do sistema operacional via metacaracteres de shell na linha de Assunto de um e-mail. Isso ocorre em certas configurações de arquivador externo. **Recomendações** Para o GNU Mailman versão 2.1.39, considere desativar o processamento de linhas de Assunto de e-mail que contenham metacaracteres de shell até que uma correção esteja disponível. Restrinja o acesso ao módulo de arquivamento de e-mails para minimizar o risco de exploração. Evite usar a linha de Assunto do e-mail nas configurações afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões 2.1.39 do GNU Mailman **Descrição** A falha permite que atacantes não autenticados leiam arquivos arbitrários via travessia de diretório ../ em /mailman/private/mailman, também conhecido como o endpoint de autenticação do arquivo privado, utilizando o parâmetro `username`. **Recomendações** Para a versão 2.1.39 do GNU Mailman, como solução temporária, considere restringir o acesso ao endpoint `/mailman/private/mailman` até que um patch esteja disponível. Evite utilizar o parâmetro `username` no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** GNU Mailman versão 2.1.39 **Descrição** O GNU Mailman 2.1.39, conforme incluído no cPanel (e WHM), permite que atacantes não autenticados criem listas por meio do endpoint "/mailman/create". **Recomendações** Para o GNU Mailman versão 2.1.39, considere desabilitar o acesso ao endpoint "/mailman/create" até que um patch esteja disponível. Restringir o acesso a este endpoint pode ajudar a minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.