Nextchat · Nextchat · CVE-2024-38514
**Nome do software vulnerável e versões afetadas**
Versões do NextChat anteriores à 2.12.4
**Descrição**
O problema está relacionado a uma vulnerabilidade de falsificação de solicitação do lado do servidor (SSRF). Isso se deve à falta de validação do parâmetro GET `endpoint` no “ponto de extremidade da API WebDav”. A SSRF pode ser usada para realizar solicitações HTTPS arbitrárias a partir da instância vulnerável, suportando os métodos MKCOL, PUT e GET. Ela também pode ter como alvo usuários e fazê-los executar código JavaScript arbitrário em seus navegadores.
**Recomendações**
Para versões anteriores à 2.12.4, atualize para a versão 2.12.4 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint da API WebDav até que a atualização seja aplicada. Evite usar o parâmetro `endpoint` no endpoint da API afetado até que o problema seja resolvido.