Kwart

Nome do software vulnerável e versões afetadas: Versões da Hazelcast Platform anteriores à 5.3.5 Descrição: O problema está relacionado a uma verificação inadequada de permissões no mapeamento SQL do conector CSV File Source na Hazelcast Platform. Isso poderia permitir que clientes não autorizados acessassem dados de arquivos armazenados no sistema de arquivos de um membro. O número estimado de dispositivos potencialmente afetados não foi informado. Não há informações sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. Recomendações: Para versões anteriores à 5.3.5, atualize para a versão 5.3.5 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar o mecanismo de processamento Hazelcast Jet na configuração do membro Hazelcast para minimizar o risco de exploração, observando que isso impedirá o funcionamento de tarefas SQL e Jet.

**Nome do software vulnerável e versões afetadas** hazelcast/hazelcast, versões 5.1-BETA-1 a 5.1 **Descrição** O problema está relacionado a uma restrição inadequada de referências a entidades externas XML, permitindo ataques XXE. A função `AbstractXmlConfigRootTagRecognizer()` utiliza um SAXParser gerado a partir de um SAXParserFactory sem a opção `FEATURE SECURE PROCESSING` definida. Isso possibilita uma potencial exploração. **Recomendações** Para as versões 5.1-BETA-1 a 5.1, atualize para a versão 5.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere definir `FEATURE SECURE PROCESSING` no SAXParserFactory para prevenir ataques XXE.

**Name of the Vulnerable Software and Affected Versions** WildFly versions 8.1.0.Final through 8.2.0.Final WildFly versions 9.0.0.CR1 **Description** The issue allows remote attackers to obtain the source code of a JSP page via a "/" at the end of a URL. **Recommendations** For WildFly version 8.1.0.Final, update to a version after 8.1.0.Final. For WildFly version 8.2.0.Final, update to a version after 8.2.0.Final. For WildFly version 9.0.0.CR1, update to a version after 9.0.0.CR1, such as 9.0.0.CR2.