Maoqiu

**Nome do Software Vulnerável e Versões Afetadas** opencc JFlow versões anteriores a 5badc00db382d7cb82dad231e6a866b18e0addfe **Descrição** Existe uma falha no opencc JFlow que permite injeção. Esta manipulação pode ser realizada remotamente. O componente vulnerável é a função `Calculate` dentro do arquivo `src/main/java/bp/wf/httphandler/WF CCForm.java`. O projeto foi notificado sobre o problema, mas ainda não respondeu. Um exploit público está disponível. **Recomendações** Aplique as atualizações assim que forem disponibilizadas pelo sistema de rolling release. Como solução temporária, considere restringir o acesso ao arquivo `WF CCForm.java`. Desabilite ou restrinja o uso da função `Calculate` até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** opencc JFlow versions prior to 20260129 **Description** A flaw exists in opencc JFlow’s Workflow Engine component, specifically within the `Imp Done` function of the `src/main/java/bp/wf/httphandler/WF Admin AttrFlow.java` file. This issue stems from the manipulation of the `File` argument, leading to XML External Entity (XXE) reference. The attack can be initiated remotely. The details of this issue have been publicly disclosed, and the project has been notified but has not yet responded. **Recommendations** Update opencc JFlow to a version later than 20260129. As a temporary workaround, restrict access to the `WF Admin AttrFlow.java` file. Avoid using the `File` argument in the `Imp Done` function until the issue is resolved.

**Nome do Software Vulnerável e Versões Afetadas** bolo-blog bolo-solo versões anteriores a 2.6.5 **Descrição** Uma vulnerabilidade de travessia de caminho existe no componente Manipulador de Arquivos ZIP do bolo-blog bolo-solo. O problema está localizado na função `unpackFilteredZip` dentro do arquivo `src/main/java/org/b3log/solo/bolo/prop/BackupService.java`. Manipular o argumento `File` pode levar a uma travessia de caminho, e o ataque pode ser executado remotamente. A exploração está publicamente disponível. O projeto foi notificado do problema, mas ainda não respondeu. **Recomendações** Atualize o bolo-blog bolo-solo para a versão 2.6.5 ou posterior. Como medida temporária, restrinja o acesso à função `unpackFilteredZip` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** bolo-blog bolo-solo versões até 2.6.4 **Descrição** Existe uma vulnerabilidade de path traversal no componente Filename Handler do bolo-blog bolo-solo. A vulnerabilidade está localizada na função `importFromMarkdown` dentro do arquivo `src/main/java/org/b3log/solo/bolo/prop/BackupService.java`. A manipulação do argumento `File` pode levar a path traversal, permitindo potencialmente exploração remota. O exploit foi publicado. **Recomendações** Versões anteriores a 2.6.4 estão vulneráveis. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** bolo-blog bolo-solo versões até a 2.6.4 **Descrição** Existe uma vulnerabilidade de Path Traversal devido à manipulação do argumento `File` dentro da função `importFromCnblogs()`, localizada no arquivo `src/main/java/org/b3log/solo/bolo/prop/BackupService.java` do componente Manipulador de Nome de Arquivo. Isso permite exploração remota. Os detalhes do exploit foram divulgados publicamente. Os mantenedores do projeto foram notificados sobre o problema, mas ainda não responderam. **Recomendações** Versões anteriores à 2.6.4 devem ser usadas. Como medida paliativa temporária, considere restringir o acesso à função `importFromCnblogs()` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** bolo-blog bolo-solo versões até 2.6.4 **Descrição** Existe uma falha no bolo-blog bolo-solo até a versão 2.6.4, especificamente dentro do componente FreeMarker Template Handler e no arquivo `src/main/java/org/b3log/solo/bolo/pic/PicUploadProcessor.java`. O problema envolve upload de arquivos sem restrições, potencialmente acionado pela manipulação do argumento `File`. Isso permite exploração remota. O exploit para este problema foi divulgado publicamente. Os mantenedores do projeto foram notificados sobre o problema, mas ainda não responderam. **Recomendações** Versões até 2.6.4 estão afetadas. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas Versões do bolo-solo até 2.6.4 Descrição Existe uma vulnerabilidade no bolo-solo até a versão 2.6.4 relacionada à desserialização. O problema reside na função `importMarkdownsSync`, localizada no arquivo `src/main/java/org/b3log/solo/bolo/prop/BackupService.java` do componente SnakeYAML. Essa manipulação pode ser iniciada remotamente, e os detalhes da exploração estão publicamente disponíveis. Recomendações Versões anteriores à 2.6.4 devem ser atualizadas. Como medida temporária, considere restringir o acesso à função `importMarkdownsSync` até que um patch esteja disponível.

**Name of the Vulnerable Software and Affected Versions** lwj Flow (affected versions not specified) **Description** A security issue exists in lwj Flow related to unrestricted file uploads. The `uploadFile` function within the SVG File Handler component, located in the file `flow-masterflow-front-restsrcmainjavacomdragonflowwebresourceflowFormResource.java`, is susceptible to manipulation through the `File` argument. This allows for unrestricted upload capabilities and can be exploited remotely. The exploit has been publicly disclosed. The product uses a continuous delivery model, making specific version details unavailable. The project maintainers were notified of the issue but have not yet responded. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.