N0El4Kls

Nome do Software Vulnerável e Versões Afetadas: linlinjava litemall versão 1.8.0 Descrição: Foi identificada uma questão problemática no software, afetando uma função desconhecida do arquivo /wx/comment/post. A manipulação do argumento `adminComment` resulta em autorização inadequada, permitindo ataques remotos. A questão foi divulgada publicamente. Recomendações: Para linlinjava litemall versão 1.8.0, considere restringir o acesso ao endpoint /wx/comment/post até que uma correção esteja disponível. Como solução temporária, evite usar o argumento `adminComment` no endpoint afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Nome do Software Vulnerável e Versões Afetadas: LoveCards LoveCardsV2 versões até 2.3.2 Descrição: Uma vulnerabilidade crítica foi identificada no componente Setting Handler, afetando código desconhecido do arquivo /api/system/other. Isso resulta em controles de acesso inadequados e pode ser explorado remotamente. O fornecedor foi contatado sobre a divulgação, mas não respondeu. Recomendações: Para as versões do LoveCards LoveCardsV2 até 2.3.2, considere restringir o acesso ao endpoint /api/system/other até que um patch esteja disponível. Como medida temporária, revise e reforce os controles de acesso para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** SiYuan Note version 3.1.18 **Description** SiYuan Note is self-hosted, open source personal knowledge management software. The software has an arbitrary file deletion vulnerability that exists in the `POST /api/history/getDocHistoryContent` endpoint. An attacker can craft a payload to exploit this vulnerability, resulting in the deletion of arbitrary files on the server. The vulnerability can be reproduced by sending a crafted request to the `/api/history/getDocHistoryContent` endpoint, where the `historyPath` parameter in the payload is processed and can lead to file deletion if it does not satisfy certain conditions. **Recommendations** For SiYuan Note version 3.1.18, upgrade to version 3.1.19, which is expected to include the fix for this vulnerability. As a temporary workaround, consider restricting access to the `POST /api/history/getDocHistoryContent` endpoint until the upgrade is applied. Additionally, avoid using the `historyPath` parameter in the affected API endpoint until the issue is resolved.