Mikecole-Mg

Nome do Software Vulnerável e Versões Afetadas XWiki Platform versões 7.0-milestone-2 até 16.10.11 XWiki Platform versões 17.0.0-rc-1 até 17.4.4 XWiki Platform versões 17.5.0-rc-1 até 17.7.0 Descrição O XWiki Platform apresenta uma vulnerabilidade de Cross-site Scripting (XSS) refletido. Isso permite que um atacante crie uma URL maliciosa que, ao ser acessada por uma vítima, pode executar ações arbitrárias com os mesmos privilégios da vítima. Caso a vítima tenha direitos administrativos ou de programação, um atacante poderá obter acesso total à instalação do XWiki. O problema está na infraestrutura de logs da plataforma, permitindo que atacantes injetem scripts maliciosos por meio de identificadores de extensão criados especificamente. Recomendações XWiki Platform versões 7.0-milestone-2 até 16.10.11: Atualize para a versão 16.10.12 ou posterior. XWiki Platform versões 17.0.0-rc-1 até 17.4.4: Atualize para a versão 17.4.5 ou posterior. XWiki Platform versões 17.5.0-rc-1 até 17.7.0: Atualize para a versão 17.8.0-rc-1 ou posterior. Como solução temporária, aplique manualmente o patch alterando uma única linha no arquivo `templates/logging macros.vm`. Não é necessário reiniciar.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenClinica Community Edition até 3.12.2/3.13 **Descrição** Existe uma vulnerabilidade de path traversal no OpenClinica Community Edition. A vulnerabilidade afeta o componente de Importação de Dados CRF, especificamente no arquivo `/ImportCRFData?action=confirm`. A manipulação do argumento `xml file` pode resultar em path traversal. O ataque pode ser iniciado remotamente. O exploit foi tornado público. **Recomendações** Versões anteriores a 3.12.2/3.13 devem ser usadas.

**Nome do Software Vulnerável e Versões Afetadas** OpenClinica Community Edition versões até 3.12.2/3.13 **Descrição** Existe uma falha no OpenClinica Community Edition que permite injeção de XML. Este problema está relacionado ao processamento do argumento `xml file` no endpoint `/ImportCRFData?action=confirm` do componente CRF Data Import. A exploração bem-sucedida pode ocorrer remotamente. Os detalhes do exploit foram divulgados publicamente. **Recomendações** Versões anteriores a 3.12.2/3.13 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** OpenWGA versão 7.11.12 Build 737 **Descrição** Existe uma falha de segurança no OpenWGA que permite cross-site scripting. A falha afeta uma função desconhecida dentro do componente Admin UI e pode ser iniciada remotamente. O exploit para esta falha foi divulgado publicamente. **Recomendações** Até o momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** OpenWGA versão 7.11.12 Build 737 **Descrição** Existe uma falha no OpenWGA que pode resultar em path traversal. O problema afeta uma função desconhecida dentro do `WGA.File` do componente da API TMLScript. O ataque pode ser executado remotamente. Um exploit para esta vulnerabilidade foi publicado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Airsonic-Advanced versions prior to 10.6.1 **Description** A vulnerability exists in Airsonic-Advanced up to version 10.6.0 within the Playlist Upload Handler component. Manipulation of the component allows for unrestricted file uploads, and the attack can be initiated remotely. The exploit is publicly available. **Recommendations** Update Airsonic-Advanced to version 10.6.1 or later.

**Nome do software vulnerável e versões afetadas** Versões do Airbyte anteriores à 0.62.2 **Descrição** A imagem Docker do gerador de conexões do Airbyte está vulnerável à execução remota de código (RCE) por meio de injeção de modelo no lado do servidor (SSTI), permitindo que um invasor remoto autenticado execute código arbitrário no servidor como usuário do servidor web. Essa vulnerabilidade pode expor informações confidenciais, como credenciais, se um usuário testar um novo conector em uma instância comprometida. No entanto, o Connection Builder não tem acesso a nenhum processo de dados. **Recomendações** Para versões anteriores à 0.62.2, atualize para a versão 0.62.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao Connection Builder para minimizar o risco de exploração.