Kawing-Ho

**Nome do Software Vulnerável e Versões Afetadas** Versões do ClipBucket V5 anteriores a 5.5.1 - 237 **Descrição** O problema surge durante o fluxo de trabalho de upload de avatar do usuário, onde um usuário pode enviar e alterar seu avatar a qualquer momento. Durante a exclusão, o ClipBucket verifica se o `avatar url` é um caminho de arquivo dentro do subdiretório `avatars`. Se o caminho da URL existir dentro do diretório `avatars`, o ClipBucket o excluirá. No entanto, não há verificação de sequências de path traversal na entrada fornecida pelo usuário, armazenada no banco de dados como `avatar url`. Isso permite que a variável final `$file` seja contaminada com sequências de path traversal, levando à exclusão de arquivos fora do escopo pretendido da pasta `avatars`. **Recomendações** Para versões do ClipBucket V5 anteriores a 5.5.1 - 237, atualize para a versão 5.5.1 - 237 para resolver o problema. Como solução temporária, considere restringir o acesso à funcionalidade de upload de avatar para minimizar o risco de exploração. Além disso, evite usar entrada fornecida pelo usuário para operações de exclusão de arquivos até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ClipBucket V5 anteriores a 5.5.1 - 238 **Descrição** A vulnerabilidade permite que atacantes não autenticados alterem o diretório de templates via travessia de diretório, resultando em uma negação de serviço. O ClipBucket V5 fornece hospedagem de vídeos de código aberto com PHP. **Recomendações** Para versões anteriores a 5.5.1 - 238, atualize para a versão 5.5.1 - 238 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao diretório de templates para prevenir alterações não autorizadas.

**Nome do Software Vulnerável e Versões Afetadas** ClipBucket V5 versões anteriores a 5.5.1 - 239 **Descrição** Existe uma vulnerabilidade de upload de arquivo na funcionalidade de Gerenciar Playlist do aplicativo, especificamente relacionada ao upload de imagens de capa da playlist. Sem as verificações adequadas, um invasor pode enviar um arquivo de script PHP em vez de um arquivo de imagem, permitindo assim que um webshell ou outros arquivos maliciosos sejam armazenados e executados no servidor. Este vetor de ataque existe tanto na área administrativa quanto na área de usuários com privilégios limitados. **Recomendações** Atualize para a versão 5.5.1 - 239 para corrigir a vulnerabilidade. Como medida paliativa temporária, considere desativar a funcionalidade de upload de arquivos na seção Gerenciar Playlist até que a atualização seja aplicada. Restrinja o acesso ao servidor para minimizar o risco de exploração. Evite utilizar a funcionalidade de upload de arquivos para imagens de capa de playlist até que o problema seja resolvido.