Mikhail Shcherbakov

**Nome do software vulnerável e versões afetadas** Versões do parse-server anteriores à 6.5.0 Versões do parse-server anteriores à 7.0.0-alpha.20 **Descrição** Esta vulnerabilidade permite injeção de SQL quando o parse-server está configurado para usar o banco de dados PostgreSQL. Um invasor remoto poderia enviar instruções SQL especialmente criadas para visualizar, adicionar, modificar ou excluir informações no banco de dados back-end. **Recomendações** Para versões anteriores à 6.5.0, atualize para a versão 6.5.0 ou posterior. Para versões anteriores à 7.0.0-alpha.20, atualize para a versão 7.0.0-alpha.20 ou posterior. Como solução temporária, considere restringir o acesso ao banco de dados PostgreSQL até que um patch seja aplicado.

**Name of the Vulnerable Software and Affected Versions** Azure DevOps Server (affected versions not specified) Team Foundation Server (affected versions not specified) **Description** The vulnerability is related to the deserialization mechanism in Azure DevOps Server, specifically in the MachinePropertyBag class. It allows an attacker to execute arbitrary code due to insufficient validation of untrusted data. This issue can lead to local privilege escalation. **Recommendations** For Azure DevOps Server, consider restricting access to the deserialization mechanism in the MachinePropertyBag class until a patch is available. For Team Foundation Server, restrict access to potentially vulnerable components to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 5.3.3 Versões do Parse Server anteriores à 4.10.20 **Descrição** Um endpoint de destino do Webhook do Parse Server Cloud Code comprometido permite que um invasor use a técnica de “prototype pollution” para contornar a opção `requestKeywordDenylist` do Parse Server. Esta vulnerabilidade afeta o Parse Server, um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. **Recomendações** Para versões anteriores à 5.3.3, atualize para a versão 5.3.3 ou posterior. Para versões anteriores à 4.10.20, atualize para a versão 4.10.20 ou posterior. Como solução alternativa temporária, considere restringir o acesso ao endpoint de destino do Cloud Code Webhook até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.19 Versões do Parse Server anteriores à 5.3.2 **Descrição** A vulnerabilidade permite que palavras-chave especificadas na opção `requestKeywordDenylist` sejam injetadas por meio de Webhooks ou Triggers do Cloud Code, fazendo com que a palavra-chave seja salva no banco de dados e contorne a opção `requestKeywordDenylist`. Isso pode ser explorado por meio de solicitações à API do Cloud Code Webhooks. Para mitigar isso, pode ser útil configurar o firewall para permitir que apenas servidores confiáveis façam solicitações à API do Parse Server Cloud Code Webhooks ou bloquear completamente a API se ela não estiver em uso. **Recomendações** Para versões anteriores à 4.10.19, atualize para a versão 4.10.19 ou posterior. Para versões anteriores à 5.3.2, atualize para a versão 5.3.2 ou posterior. Como solução alternativa temporária, considere configurar seu firewall para permitir que apenas servidores confiáveis façam solicitações à API Parse Server Cloud Code Webhooks ou bloquear a API completamente se você não estiver usando o recurso.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.18 Versões do Parse Server anteriores à 5.3.1 na ramificação 5.X **Descrição** O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Um invasor pode usar um protótipo de poluição de sink para acionar a execução remota de código por meio do analisador BSON do MongoDB. Esta vulnerabilidade foi corrigida nas versões 5.3.1 e 4.10.18. **Recomendações** Para versões anteriores à 4.10.18, atualize para a versão 4.10.18 ou posterior. Para versões anteriores à 5.3.1 na ramificação 5.X, atualize para a versão 5.3.1 ou posterior. Como solução alternativa temporária, considere desativar a execução remota de código por meio do analisador BSON do MongoDB até que uma correção esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Go anteriores à 1.17.11 Versões do Go anteriores à 1.18.3 **Descrição** A vulnerabilidade permite a injeção de código no Cmd.Start em os/exec, possibilitando a execução de quaisquer binários no diretório de trabalho com nomes “..com” ou “..exe” ao chamar `Cmd.Run`, `Cmd.Start`, `Cmd.Output` ou `Cmd.CombinedOutput` quando `Cmd.Path` não está definido. Isso ocorre no Windows. **Recomendações** Para versões do Go anteriores à 1.17.11, atualize para o Go 1.17.11 ou posterior para resolver o problema. Para versões do Go anteriores à 1.18.3, atualize para o Go 1.18.3 ou posterior para resolver o problema. Como solução alternativa temporária, considere definir `Cmd.Path` para um executável específico a fim de evitar a execução não intencional de binários no diretório de trabalho.

**Name of the Vulnerable Software and Affected Versions** Azure DevOps Server and Team Foundation Server (affected versions not specified) **Description** A remote code execution issue exists due to improper input validation in Azure DevOps Server and Team Foundation Server. This could allow a remote attacker to execute arbitrary code using a specially crafted file. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Azure DevOps Server and Team Foundation Server (affected versions not specified) **Description** A Cross-site Scripting (XSS) issue exists due to improper sanitization of user-provided input. This allows a remote attacker to perform cross-site scripting attacks. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Azure DevOps Server and Team Foundation Server (affected versions not specified) **Description** The issue exists due to insufficient protection of the web page structure in the Azure DevOps Server and Team Foundation Server suite. Exploitation of this issue may allow a remote attacker to impact the confidentiality and integrity of protected information. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** ASP.NET Core (affected versions not specified) **Description** A spoofing issue exists due to the ASP.NET Core's failure to properly sanitize web requests. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.