Jl Leitschuh

**Nome do software vulnerável e versões afetadas: Versões do Ratpack anteriores à 1.9.0 Descrição: A configuração padrão das sessões do lado do cliente no Ratpack faz com que dados não criptografados, mas assinados, sejam definidos como valores de cookies. Isso poderia permitir que dados confidenciais fossem lidos por qualquer entidade com acesso aos cookies, caso esses dados fossem armazenados na sessão e o cookie da sessão fosse divulgado. Por exemplo, isso poderia ocorrer se os cookies não estiverem configurados com httpOnly e uma vulnerabilidade XSS adjacente no site permitir a captura dos cookies. Recomendações: Para versões anteriores à 1.9.0, forneça uma chave de criptografia conforme a recomendação da documentação para mitigar o problema. A partir da versão 1.9.0, é utilizada uma chave de assinatura gerada aleatoriamente de forma segura, o que resolve o problema.

**Nome do software vulnerável e versões afetadas: Versões do Gradle anteriores à 7.0 Descrição: A vulnerabilidade permite que um invasor acesse informações baixadas pelo Gradle devido a arquivos criados com permissões de acesso aberto no diretório temporário do sistema. Isso pode levar à divulgação de informações localmente, afetando particularmente as compilações que utilizam a API `TextResourceFactory`. Informações confidenciais contidas nos arquivos baixados podem ficar expostas a outros usuários locais no mesmo sistema. A partir do Gradle 7.0, o diretório temporário do sistema não é mais utilizado; em vez disso, é utilizado o diretório Home do usuário do Gradle, que é restrito ao usuário que está executando a compilação por padrão. Recomendações: Para versões anteriores à 7.0, como solução temporária, considere definir um umask mais restritivo que remova o acesso de leitura para outros usuários. Isso impedirá que arquivos criados no diretório temporário do sistema fiquem acessíveis a outros usuários. Alternativamente, se você não conseguir alterar o umask do seu sistema, pode mover o diretório temporário do Java definindo a propriedade do sistema `java.io.tmpdir` para um novo caminho que limite as permissões apenas ao usuário da compilação.

Name of the Vulnerable Software and Affected Versions: Xtext & Xtend versions prior to 2.18.0 Description: The issue concerns the use of HTTP instead of HTTPS for file transfer during the build process of Xtext & Xtend, potentially compromising built artifacts. Recommendations: For versions prior to 2.18.0, update to version 2.18.0 or later to resolve the issue.