Jonaslagoni

**Nome do software vulnerável e versões afetadas: Versões do Modelina anteriores à 1.0.0 Descrição: O Modelina é uma biblioteca para gerar modelos de dados com base em entradas como documentos AsyncAPI, OpenAPI ou JSON Schema. Esta vulnerabilidade afeta qualquer pessoa que utilize as predefinições padrão e/ou não controle pessoalmente essa funcionalidade. O Alerta de Segurança do GitHub do mantenedor observa que é impossível proteger-se totalmente contra este problema, pois os usuários têm acesso às informações brutas originais. No entanto, a partir da versão 1, se você acessar apenas os modelos restritos, não encontrará este problema. Outras situações semelhantes não são consideradas um problema de segurança, mas sim um comportamento intencional. Recomendações: Para versões anteriores à 1.0.0, considere usar predefinições totalmente personalizadas que alterem todo o processo de renderização, o que permite escapar da entrada do usuário. A partir da versão 1.0.0, se você acessar apenas os modelos restritos, não encontrará esse problema.

**Nome do software vulnerável e versões afetadas** Versões do @asyncapi/java-spring-cloud-stream-template anteriores à 0.7.0 **Descrição** A vulnerabilidade permite a injeção de código arbitrário quando um invasor controla o documento AsyncAPI. Isso pode ser feito através da manipulação do campo `operationId` no documento AsyncAPI, o que pode levar à injeção de código malicioso. Por exemplo, um invasor pode modificar o `operationId` para incluir código Java malicioso, como `test() { System.out.println(“injected”); return test(0); }`, que pode ser executado quando o microsserviço é gerado. O esquema `components/schemas/CustomClass` também pode ser usado para injetar código malicioso. **Recomendações** Para versões anteriores à 0.7.0, atualize para a versão 0.7.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao documento AsyncAPI para impedir que invasores o controlem. Além disso, evite usar o campo `operationId` para executar código controlado pelo usuário.