Itz-D0Dgy

**Nome do software vulnerável e versões afetadas** Versões do Adguard Home anteriores à 0.107.52 **Descrição** Uma falha de leitura de arquivos arbitrários permite que invasores autenticados acessem arquivos arbitrários como root no sistema operacional subjacente, colocando um arquivo malicioso em um diretório legível. Isso representa um sério risco à segurança, permitindo que invasores leiam arquivos confidenciais em sistemas que executam o Adguard Home. **Recomendações** Para versões anteriores à 0.107.52, atualize para a versão 0.107.52 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a diretórios legíveis para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Jellyfin anteriores à 10.9.10 **Descrição** O recurso de upload de imagens de perfil do usuário do Jellyfin aceita arquivos SVG, permitindo um ataque XSS armazenado contra um usuário administrador por meio de um arquivo SVG malicioso especialmente criado. Quando visualizado por um administrador fora da interface do usuário (UI) da web do Jellyfin, esse arquivo SVG malicioso pode interagir com o LocalStorage do navegador e recuperar um AccessToken, que, por sua vez, pode ser usado em uma chamada de API para elevar o usuário alvo à condição de administrador do Jellyfin. É improvável que o vetor de ataque real seja explorado, pois requer ações específicas do administrador para visualizar a imagem SVG fora da interface do usuário (UI) da web do Jellyfin. **Recomendações** Para versões anteriores à 10.9.10, atualize para a versão 10.9.10 para resolver o problema. Como solução temporária, considere desativar o upload de arquivos SVG para perfis de usuário até que o patch seja aplicado. Restrinja o acesso ao recurso de upload de imagens de perfil de usuário para minimizar o risco de exploração. Evite visualizar imagens de perfil de usuário fora da interface do usuário da Web do Jellyfin para impedir uma possível interação com o LocalStorage do navegador.

**Nome do software vulnerável e versões afetadas** Emby Media Server versão 4.8.3.0 **Descrição** Uma vulnerabilidade de Stored Cross Site Scripting permite que um invasor remoto obtenha privilégios elevados por meio do componente notifications.html. **Recomendações** Para o Emby Media Server versão 4.8.3.0, considere desativar o acesso ao componente notifications.html até que uma correção esteja disponível para impedir a obtenção de privilégios elevados.

**Nome do software vulnerável e versões afetadas** Versões do ZITADEL anteriores à 2.50.0 **Descrição** O ZITADEL oferece aos usuários a possibilidade de utilizar senhas de uso único baseadas em tempo (TOTP) e senhas de uso único (OTP) por SMS e e-mail. Embora o ZITADEL já ofereça aos administradores a opção de definir uma `Política de Bloqueio` com um número máximo de tentativas de verificação de senha malsucedidas, não havia tal mecanismo para verificações (T)OTP. **Recomendações** Para versões anteriores à 2.50.0, atualize para a versão 2.50.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às verificações (T)OTP até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** ZITADEL versions prior to 2.38.3 ZITADEL versions prior to 2.40.5 **Description** ZITADEL provides identity infrastructure, allowing administrators to define a `Lockout Policy` with a maximum amount of failed password check attempts. In the affected implementation, an attacker could start multiple parallel password checks, attempting more combinations than configured in the `Lockout Policy`. This allowed the attacker to exceed the lockout limit, potentially leading to unauthorized access. **Recommendations** For versions prior to 2.38.3, update to version 2.38.3 or later. For versions prior to 2.40.5, update to version 2.40.5 or later. As a temporary workaround is not applicable since a patch is already available, ensure to apply the patch as soon as possible to prevent exploitation.