N1Rwhex

**Name of the Vulnerable Software and Affected Versions** OpenBao versões anteriores a 2.5.3 **Description** O baixador de plugins OCI contém um problema na função `ExtractPluginFromImage()` onde binários de plugins são extraídos de imagens de contêiner através do streaming de dados tar descompactados via `io.Copy` sem um limite no número de bytes gravados. Um invasor que controle ou comprometa o registro OCI pode fornecer uma imagem manipulada contendo uma bomba de descompressão—um arquivo que se expande para um tamanho arbitrariamente grande ao ser descompactado—levando à exaustão do disco. Como a verificação de integridade SHA256 é realizada apenas após o arquivo ser totalmente gravado no disco, a incompatibilidade do hash é detectada tarde demais para evitar o impacto. Isso permite que um invasor substitua uma imagem de plugin legítima sem a necessidade de alterar sua assinatura. **Recommendations** Atualizar para a versão 2.5.3.

Pi-hole Admin Interface is a web interface for managing Pi-hole, a network-level ad and internet tracker blocking application. From 6.0 to before 6.5, a reflected DOM-based XSS vulnerability in taillog.js allows an unauthenticated attacker to inject arbitrary HTML into the Pi-hole admin interface by crafting a malicious URL. The file query parameter is interpolated into an innerHTML assignment without escaping. Because the Content-Security-Policy is missing the form-action directive, injected <form> elements can exfiltrate credentials to an external origin. This vulnerability is fixed in 6.5.