Holger Just

**Nome do Software Vulnerável e Versões Afetadas** Versões do Gitea anteriores à 1.20.1 **Descrição** Existe uma falha no Gitea que permite o uso de um esquema de URL proibido, como javascript:, dentro de um link, o que pode levar a cross-site scripting (XSS). **Recomendações** Atualize o Gitea para a versão 1.20.1 ou superior.

**Nome do software vulnerável e versões afetadas** Versões 4.2.0 a 4.2.1 do Redmine **Descrição** O problema está relacionado à expiração incorreta da sessão no Redmine, uma aplicação web para gerenciamento de projetos e tarefas. Quando a autenticação de dois fatores está ativada para a conta de um usuário, as sessões existentes não são encerradas conforme o esperado, permitindo que continuem ativas. Isso poderia ser potencialmente explorado por um invasor remoto para continuar acessando a conta do usuário sem a autenticação adequada. **Recomendações** Para as versões 4.2.0 e 4.2.1 do Redmine, considere encerrar todas as sessões de usuário existentes imediatamente após ativar a autenticação de dois fatores para a conta do usuário como uma solução temporária. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões 3.4.13 e anteriores do Redmine; versões 4.x anteriores à 4.0.6 **Descrição** O problema está relacionado ao tratamento incorreto de dados de marcação durante a formatação Textile na aplicação web do servidor de gerenciamento de projetos e tarefas do Redmine. Isso pode permitir que um invasor remoto comprometa a integridade dos dados. **Recomendações** Para as versões 3.4.13 e anteriores do Redmine, atualize para a versão 3.4.13 ou posterior. Para as versões 4.x do Redmine anteriores à 4.0.6, atualize para a versão 4.0.6 ou posterior. Como solução temporária, considere desativar a formatação Textile até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** Redmine versions prior to 2.6.2 **Description** A cross-site scripting (XSS) issue allows remote attackers to inject arbitrary web script or HTML via vectors involving flash message rendering. **Recommendations** For versions prior to 2.6.2, update to version 2.6.2 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Cocaine gem versions 0.4.0 through 0.5.2 **Description** The issue allows context-dependent attackers to execute arbitrary commands via a crafted `has` object, related to recursive variable interpolation. **Recommendations** For Cocaine gem versions 0.4.0 through 0.5.2, update to a version outside of this range to resolve the issue. At the moment, there is no information about a specific newer version that contains a fix for this vulnerability.