George Chen

OpenCost before 1.121.0 fails to authenticate the GET /helmValues endpoint, exposing base64-decoded HELM VALUES environment variable containing cloud provider credentials. Additionally, adminAuthMiddleware fails open when ADMIN TOKEN is unset, allowing unauthenticated attackers to modify GCP service account keys via POST /serviceKey to redirect billing calls.

Vendure through 3.7.1, fixed in commit f67ef5f, contains a cross-channel authorization bypass vulnerability in stock-location.service.ts and asset.service.ts update methods that allows channel-scoped administrators to modify other tenants' data. Attackers can supply global IDs of StockLocation or Asset entities from different channels to overwrite inventory locations or catalog assets belonging to other tenants without proper channel isolation validation.

MaxKey through 4.1.12, fixed in commit ddbb72f, contains an insufficient redirect URI validation vulnerability in DefaultRedirectResolver.hostMatches() that allows remote attackers to hijack OAuth 2.0 authorization codes by supplying a crafted redirect uri whose hostname suffix matches a registered URI without proper dot-boundary anchoring. Attackers who control a domain ending with the registered redirect URI hostname can social-engineer victims into clicking a crafted authorization URL, causing the authorization code to be issued to the attacker-controlled URI and exchanged for an access token granting access to the victim's identity.

Julep contains an insecure direct object reference vulnerability in the get execution details endpoint that allows authenticated tenants to read another tenant's execution data. Attackers can supply arbitrary execution id values to retrieve sensitive execution records including task inputs, outputs, metadata, and temporal task tokens from other tenants.

Swarms through 6.8.1, fixed in commit 8b0fc9e, contains a server-side request forgery vulnerability in the is safe url function that fails to validate hostnames through DNS resolution, allowing attackers to bypass the blocklist. Attackers can supply user-controlled image or audio URLs that resolve to private, loopback, or metadata addresses to reach internal services and exfiltrate credentials.

**Nome do Software Vulnerável e Versões Afetadas** lakeFS versões anteriores ao commit 71a45ee da versão 1.83.0 **Descrição** Existe uma falha de bypass de autenticação no endpoint '/setup comm prefs'. Isso permite que atacantes não autenticados sobrescrevam metadados do operador, como `email`, `name` e `company`, após a conclusão da configuração. Ao enviar uma requisição POST para este endpoint, atacantes podem modificar preferências de atualizações de segurança, desativar comunicações de segurança e disparar eventos de telemetria falsificados usando um ID de instalação legítimo. **Recomendações** Atualize o lakeFS para a versão que contenha o commit 71a45ee. Como medida de mitigação temporária, restrinja o acesso ao endpoint '/setup comm prefs'.

**Nome do Software Vulnerável e Versões Afetadas** Jan versões anteriores a 0.8.4 **Description** Uma configuração incorreta de CORS (Cross-Origin Resource Sharing) no servidor de API local permite que atacantes adjacentes à rede ignorem as restrições de hosts confiáveis. Isso ocorre porque o servidor substitui os hosts confiáveis configurados pelo usuário por um caractere curinga que reflete origens arbitrárias com credenciais. Atacantes na rede local ou que utilizem DNS rebinding—uma técnica que engana o navegador para pensar que um site malicioso é confiável—podem acessar a API compatível com OpenAI não autenticada para realizar inferências, enumerar modelos, invocar ferramentas MCP e ler respostas de origens cruzadas. **Recommendations** Atualize o Jan para uma versão que inclua a correção implementada no commit 3e1c1e7.

**Nome do Software Vulnerável e Versões Afetadas** Datasets versões anteriores a 5.0.1 **Descrição** Construtores de conjuntos de dados baseados em pastas não validam adequadamente o campo de metadados `file name` antes de juntá-lo ao diretório do conjunto de dados. Isso permite que invasores usem sequências de traversal de diretório—uma técnica usada para acessar arquivos e diretórios fora da pasta pretendida—para ler arquivos locais arbitrários. Esses arquivos são então incorporados à saída quando as funções `save to disk()` ou `push to hub()` são chamadas. **Recomendações** Atualize o Datasets para a versão 5.0.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Suna versões anteriores a 0.9.102 **Description** Um controle de acesso quebrado na API de fila de mensagens permite que atacantes autenticados acessem e manipulem recursos de fila de outros usuários devido à ausência de verificações de propriedade e isolamento de conta. Isso permite que atacantes leiam filas de prompts pendentes de todos os usuários, leiam ou excluam sessões individuais e injetem prompts arbitrários na fila de sessão de outro usuário. Consequentemente, o drainer de segundo plano pode encaminhar mensagens maliciosas para o agente de IA ativo da vítima usando as credenciais e permissões da vítima. **Recommendations** Atualize o Suna para a versão 0.9.102 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Overseerr versões anteriores a 1.35.1 **Descrição** Existe uma falha de bypass de autorização na API de assinatura de push. Usuários autenticados podem listar, ler e excluir assinaturas de push de outros usuários ao fornecer um `userId` arbitrário nos parâmetros de caminho. Isso ocorre porque os manipuladores afetados carecem de uma verificação de propriedade, permitindo o acesso a registros de usuários sem o filtro `filteredFields`. Isso pode levar ao vazamento de dados sensíveis, como endereços de e-mail e valores de `plexId`. **Recomendações** Atualize para uma versão posterior à 1.35.0.

**Nome do Software Vulnerável e Versões Afetadas** Diffusers versões anteriores a 0.39.1 **Description** Um problema de traversal de caminho existe na função ` get checkpoint shard files()`. Isso permite que um invasor leia arquivos arbitrários ao fornecer valores maliciosos de `weight map` dentro do JSON de índice do modelo. Ao usar caminhos absolutos ou sequências `../` nas entradas do `weight map`, um invasor pode escapar do diretório de modelo pretendido e acessar arquivos safetensors localizados em outro lugar durante o processo de carregamento do modelo. **Recommendations** Atualize para a versão que contenha o commit cee298c ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Fathom Lite versões anteriores a 1.3.2 **Description** Um problema de cross-site scripting armazenado existe no endpoint de coleta de análises. Atacantes não autenticados podem injetar uma URI `javascript:` no painel Top Pages enviando um hostname e um pathname manipulados para o endpoint `/collect`. Isso ocorre porque as funções `parseHostname()` e `parsePathname()` não realizam a validação do esquema da URI. Consequentemente, um hostname `javascript:` e um pathname prefixado com quebra de linha podem ser armazenados e posteriormente renderizados como um anchor href no painel autenticado sem sanitização. Isso pode levar ao sequestro de sessão e ao controle total da conta se um operador clicar na entrada maliciosa. **Recommendations** Atualize o Fathom Lite para a versão 1.3.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Chatwoot versões anteriores a 4.16.0 **Description** Existe uma falha de bypass de autenticação no controlador de uploads diretos. Esta falha permite que atacantes não autenticados resolvam qualquer conta e conversa para criar blobs arbitrários do ActiveStorage em qualquer conta de locatário. Ao explorar a ausência de verificações de autenticação, os atacantes podem obter URLs PUT assinadas para gravar dados arbitrários diretamente no backend de armazenamento da aplicação. **Recommendations** Atualize para a versão 4.16.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Office-Word-MCP-Server versões anteriores a 1.1.12 **Description** Um problema de traversal de caminho existe nas ferramentas de documento. Atacantes que podem influenciar o argumento `filename` podem ler arquivos .docx arbitrários ou criar e sobrescrever arquivos .docx fora do diretório de trabalho pretendido. Isso é possível ao fornecer caminhos absolutos ou sequências de travessia ../ para operações de abertura e salvamento de documentos, ignorando as funções auxiliares `check file writeable()` e `ensure docx extension()`, que não realizam confinamento de diretório base ou validação de realpath. **Recommendations** Atualize o Office-Word-MCP-Server para a versão 1.1.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CyberPanel versões anteriores ao commit b198460 da versão 1.9.1 **Descrição** Uma falha de autorização existe no manipulador `cancelBackupCreation`. Usuários autenticados podem explorar isso enviando requisições POST manipuladas para encerrar processos de backup, excluir arquivos de backup, corromper arquivos de status de backup e remover registros de banco de dados pertencentes a outros locatários. Isso é feito através da manipulação dos parâmetros `backupCancellationDomain` e `fileName`. **Recomendações** Atualize o CyberPanel para a versão que contenha o commit b198460.

**Nome do Software Vulnerável e Versões Afetadas** PyTorch torchvision versões anteriores a 0.28.1 **Descrição** Ocorre uma leitura fora dos limites do heap no callback `read from tensor()` do decodificador GIF porque um comprimento não limitado é passado para o `memcpy`. Isso permite que atacantes utilizem arquivos GIF maliciosos ou truncados para causar uma falha de segmentação, resultando em negação de serviço, ou para expor o conteúdo da memória heap adjacente. **Recomendações** Atualize o PyTorch torchvision para a versão 0.28.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** h2oGPT versões anteriores a 0.2.2 **Descrição** Um problema de traversal de caminho existe na API de arquivos compatível com OpenAI. Atacantes remotos não autenticados podem ler, gravar e excluir arquivos arbitrários acessíveis ao processo do servidor ao fornecer sequências de traversal no token bearer. Isso ocorre porque a função `get user dir()` em `openai server/backend utils.py` utiliza a string do token bearer como um componente de caminho via `os.path.join` sem a devida sanitização. Como a chave de API padrão é vazia, a autenticação é ignorada. Atacantes podem usar os endpoints de conteúdo de arquivo, exclusão e upload para sair do diretório de usuário pretendido, potencialmente levando à execução remota de código ao gravar em arquivos carregados pelo aplicativo ou hooks de inicialização. **Recomendações** Atualize o h2oGPT para a versão 0.2.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** AgentGPT versões anteriores a 1.0.1 **Descrição** Existe uma falha de bypass de autorização que permite que usuários autenticados anexam tarefas à execução de agente de outro usuário. Isso ocorre porque as funções `AgentCRUD.create task` e `validate task count` utilizam um `run id` fornecido pelo cliente no corpo da requisição para localizar a execução do agente sem verificar se o usuário solicitante é o proprietário dessa execução. Um invasor com um `run id` válido pode corromper o histórico de tarefas, esgotar o orçamento de loop por execução e aumentar os custos de LLM para a vítima. **Recomendações** Atualize o AgentGPT para a versão 1.0.1 ou posterior.

SoftVC VITS Singing Voice Conversion through commit 730930d contains a path traversal vulnerability in the full-song inference server that allows unauthenticated remote attackers to read and exfiltrate arbitrary files by supplying attacker-controlled filesystem paths through the audio path field of an unauthenticated POST request to the /wav2wav route. Attackers can pass arbitrary server-side paths verbatim to librosa.load, torchaudio.load, and soundfile.write sinks, causing the server to decode and return file contents via the HTTP response body while also writing attacker-specified .wav files to arbitrary locations on the filesystem.

**Nome do Software Vulnerável e Versões Afetadas** CyberPanel versões anteriores a 1.9.1 **Description** Uma referência direta a objeto insegura (IDOR) existe nos manipuladores de backup incremental do aplicativo IncBackups. Isso ocorre porque o sistema utiliza um ID inteiro sequencial global para trabalhos de backup sem verificar se o usuário solicitante está autorizado para aquele domínio específico. Usuários autenticados podem manipular a variável `IncJob` para acessar metadados de backup, excluir permanentemente snapshots de backup ou disparar a restauração não autorizada de trabalhos de backup com privilégios de root. Os manipuladores afetados são `deleteBackup()`, `fetchRestorePoints()` e `restorePoint()`. **Recommendations** Atualize o CyberPanel para uma versão que contenha o commit b198460.