Garbomuffin

Nome do software vulnerável e versões afetadas: Versões do Altair GraphQL Client anteriores à 8.0.5 Descrição: O problema decorre do fato de o aplicativo de desktop do Altair GraphQL Client não validar certificados HTTPS, permitindo que um invasor do tipo “man-in-the-middle” intercepte todas as solicitações. Isso pode comprometer os cabeçalhos e corpos das solicitações e respostas GraphQL, incluindo tokens de autorização, para usuários em redes não confiáveis. O ataque também pode conceder acesso total a contas do Altair GraphQL Cloud que estejam conectadas e permitir a substituição de páginas de checkout de pagamento por sites maliciosos. Recomendações: Para versões anteriores à 8.0.5, atualize para a versão 8.0.5 para corrigir o problema. Como solução temporária, considere evitar o uso do aplicativo para desktop em redes não confiáveis até que a atualização seja aplicada. Restrinja o acesso a informações confidenciais e evite usar o aplicativo para desktop em transações que exijam alta segurança até que o problema seja resolvido.

**Name of the Vulnerable Software and Affected Versions** TurboWarp Desktop versions prior to 1.8.0 **Description** TurboWarp is a desktop application that compiles scratch projects to JavaScript. The issue allows a malicious project or custom extension to read arbitrary files from disk and upload them to a remote server. The only required user interaction is opening the sb3 file or loading the extension. The web version of TurboWarp is not affected. This bug has been addressed in commit `55e07e99b59` after an initial fix which was reverted. **Recommendations** To resolve the issue, users are advised to upgrade to version 1.8.0 or later. Users unable to upgrade should avoid opening sb3 files or loading extensions from untrusted sources.

**Nome do software vulnerável e versões afetadas** Versões do ScratchTools anteriores à 2.5.2 **Descrição** O problema afeta os usuários do recurso “Projetos visualizados recentemente”, tornando-os vulneráveis à invasão de conta caso visualizem um projeto que tente explorar essa vulnerabilidade. O problema ocorre quando um projeto com Javascript no título é visitado e o recurso “Projetos visualizados recentemente” o exibe, potencialmente executando o Javascript. **Recomendações** Para versões anteriores à 2.5.2, atualize para a versão 2.5.2 para resolver o problema. Como solução temporária, considere evitar o uso do recurso “Projetos visualizados recentemente” até que a atualização seja aplicada.