Ngocnn97

**Nome do Software Vulnerável e Versões Afetadas** Prometheus versões 2.49.0 até 3.5.2 Prometheus versões 3.11.0 até 3.11.2 **Description** Na interface web legada, habilitada através da flag de linha de comando `--enable-feature=old-ui`, a visualização do gráfico de mapa de calor (heatmap) de histograma não escapa os valores de rótulo ao inseri-los no HTML para uso como rótulos de marcação do eixo. Isso permite que um invasor capaz de injetar métricas manipuladas execute JavaScript no navegador de qualquer usuário que visualize a métrica na interface do gráfico de mapa de calor. **Recommendations** Atualize para a versão 3.5.3. Atualize para a versão 3.11.3. Como mitigação temporária, desabilite a interface web legada removendo a flag `--enable-feature=old-ui`.

**Nome do Software Vulnerável e Versões Afetadas** toeverything AFFiNE versões anteriores a 0.26.4 **Description** Um bypass de autorização existe no Public Markdown Preview Endpoint. Um invasor remoto pode manipular a função `allowDocPreview` no endpoint '/workspace/:workspaceId/:docId' para ignorar os controles de autorização. **Recommendations** Atualize para uma versão posterior a 0.26.3. Como medida paliativa temporária, restrinja o acesso ao endpoint '/workspace/:workspaceId/:docId' ou desative a função `allowDocPreview`.

Nome do Software Vulnerável e Versões Afetadas DbGate versões até 7.1.4 Descrição Uma falsificação de solicitação do lado do servidor existe no componente REST/GraphQL. Este problema ocorre na função `apiServerUrl1` localizada no arquivo `packages/rest/src/openApiDriver.ts` e pode ser acionado remotamente. Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas aandrew-me ytDownloader versões até 3.20.2 Descrição Ocorre uma injeção de comando no recurso Compressor Feature dentro do arquivo `src/compressor.js`. Este problema é acionado por meio da função `child process.exec()` e só pode ser executado localmente. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas aandrew-me ytDownloader versões até 3.20.2 Descrição Um problema de cross-site scripting existe no componente Error Details Panel. Atacantes remotos podem explorar isso manipulando a função `createTextNode()`. Recomendações Como uma solução temporária, considere desativar a função `createTextNode()` no Error Details Panel até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** DbGate versões anteriores a 7.1.5 **Descrição** Um problema de cross-site scripting existe no componente SVG Icon String Handler dentro do arquivo `packages/web/src/icons/FontIcon.svelte`. A manipulação remota do argumento `applicationIcon` pode levar a esse problema. **Recomendações** Atualize para a versão 7.1.5.

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.6.4 Descrição O SiYuan é suscetível à execução remota de código (RCE) através de uma vulnerabilidade de scripting entre sites (XSS) armazenado em legendas de tabelas. O problema surge porque o conteúdo da legenda da tabela é armazenado sem escape adequado e posteriormente descriptografado em HTML renderizado, criando um sumidouro XSS. O renderizador do cliente de desktop SiYuan Electron está configurado com `nodeIntegration` habilitado e `contextIsolation` desabilitado, permitindo que o JavaScript controlado pelo invasor seja executado com acesso às APIs Node.js. Um invasor pode importar uma nota criada em um espaço de trabalho sincronizado e, quando a vítima sincronizar e abrir a nota, a execução do código pode ser alcançada. A vulnerabilidade é acionada por legendas de tabelas criadas contendo HTML codificado, como `<img src=x onerror=...>`, que são renderizadas como elementos DOM ativos. Uma carga útil como `require('child process').exec('calc')` pode ser usada para executar comandos na máquina da vítima. Recomendações Atualize para a versão 3.6.4 ou posterior.

Notesnook is a note-taking app focused on user privacy & ease of use. Prior to version 3.3.17, a stored XSS vulnerability exists in the mobile share / web clip flow because attacker-controlled clip metadata is concatenated into HTML without escaping and then rendered with innerHTML inside the mobile share editor WebView. An attacker can control the shared title metadata (for example through Android/iOS share metadata such as TITLE / SUBJECT, or through link-preview title data) and inject HTML such as </a><img src=x onerror=...>. When the victim opens the Notesnook share flow and selects Web clip, the payload is inserted into the generated HTML and executed in the mobile editor WebView. This issue has been patched in version 3.3.17.

Nome do Software Vulnerável e Versões Afetadas DbGate versões 7.0.0 através de 7.1.5 Descrição DbGate, um gerenciador de banco de dados multiplataforma, contém uma vulnerabilidade de scripting cross-site (XSS) armazenado devido a strings de ícones SVG controladas por um invasor sendo renderizadas como HTML bruto sem a devida sanitização. Na interface web, isso permite a execução de scripts no navegador de outro usuário. No aplicativo desktop Electron, isso pode levar à execução de código local porque o Electron está configurado com `nodeIntegration: true` e `contextIsolation: false`. A questão reside no caminho de renderização do ícone, especificamente dentro dos componentes `FontIcon.svelte`, `apps.js`, `DatabaseAppObject.svelte` e `AppObjectCore.svelte`. Um invasor pode explorar isso criando ou modificando uma definição de aplicativo para incluir um `applicationIcon` malicioso. Quando outro usuário visualizar uma entrada de banco de dados ou aplicativo correspondente, o código malicioso será executado. O impacto é mais grave no aplicativo desktop Electron devido à configuração que permite o acesso às APIs Node/Electron. Recomendações As versões 7.0.0 a 7.1.5 do DbGate devem ser atualizadas para a versão 7.1.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** SiYuan is a personal knowledge management system. A crafted block attribute value can bypass server-side attribute escaping when an HTML entity is mixed with raw special characters. An attacker can embed a malicious IAL value inside a `.sy` document, package it as a `.sy.zip`, and have the victim import it through the Import `.sy.zip` workflow. Once the note is opened, the malicious attribute breaks out of its original HTML context and injects an event handler, resulting in stored cross-site scripting (XSS). In the Electron desktop client, this XSS can lead to remote code execution because injected JavaScript runs with access to Node/Electron APIs. The issue involves manipulating block attributes and exploiting the interaction between HTML entities and special characters. **Recommendations** Update to version 3.6.2.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** The publish service in SiYuan allows unauthenticated visitors to access bookmarked blocks from password-protected documents. This occurs because the `/api/bookmark/getBookmark` endpoint, when operating in publish/read-only mode, calls the `FilterBlocksByPublishAccess(nil, ...)` function. Passing `nil` as the context bypasses the password check, allowing access to content from protected documents if at least one block within those documents is bookmarked. The vulnerable code path resides within the `kernel/api/bookmark.go` file, specifically in the `getBookmark` function, and the `FilterBlocksByPublishAccess` function in `kernel/model/publish access.go`. The issue stems from treating a `nil` context as authorized, effectively bypassing the intended password enforcement. **Recommendations** Versions prior to 3.6.2: Upgrade to version 3.6.2 or later to resolve this issue.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** SiYuan is a personal knowledge management system susceptible to a stored cross-site scripting (XSS) issue. An attacker can inject a malicious URL into an Attribute View `mAsse` field. When a victim opens the Gallery or Kanban view with “Cover From -> Asset Field” enabled, the malicious URL is executed. The vulnerable code accepts arbitrary `http(s)` URLs without extensions as images, stores the attacker-controlled string in `coverURL`, and injects it directly into an `<img src="...">` attribute without proper escaping. In the Electron desktop client, the injected JavaScript executes with `nodeIntegration` enabled and `contextIsolation` disabled, leading to arbitrary OS command execution under the victim’s account. The vulnerable flow involves the `IsPossiblyImage(assetPath)` function accepting unsafe image URLs and the direct insertion of `coverURL` into the HTML without escaping. A payload such as `https://example.com/" onerror="require('child process').exec('calc')` can be used to trigger the XSS. **Recommendations** Versions prior to 3.6.2 should be updated to version 3.6.2 or later.

**Name of the Vulnerable Software and Affected Versions** Notesnook versions prior to 3.3.11 **Description** Notesnook is a note-taking app with a cross-site scripting issue present in the note history comparison viewer on Web/Desktop platforms. This issue can lead to remote code execution in the desktop application. The issue occurs when an attacker-controlled note header is displayed using the `dangerouslySetInnerHTML` function without proper security measures. The desktop application's Electron configuration, with `nodeIntegration` set to true and `contextIsolation` set to false, allows for the escalation to remote code execution when combined with the full backup and restore feature. The vulnerable function is `dangerouslySetInnerHTML`. The vulnerable parameter is the note header. **Recommendations** Update Notesnook to version 3.3.11 or later.

Nome do Software Vulnerável e Versões Afetadas Notesnook versões anteriores a 3.3.11 (Web/Desktop) e anteriores a 3.3.17 (Android/iOS) Descrição Notesnook é um aplicativo de anotações. Uma falha de scripting cross-site (XSS) armazenado no fluxo de renderização do Web Clipper pode ser explorada para alcançar a execução remota de código (RCE) no aplicativo desktop. A causa raiz é a preservação de atributos controlados por atacantes da raiz da página de origem dentro do HTML do web-clip. Quando esses clips são abertos, o Notesnook renderiza o HTML em um iframe de mesma origem e não isolado usando `contentDocument.write(...)`. Atributos de manipuladores de eventos como `onload`, `onclick` ou `onmouseover` são então executados dentro da origem do Notesnook. No aplicativo desktop, isso leva ao RCE porque o Electron está configurado com `nodeIntegration: true` e `contextIsolation: false`. Recomendações Atualize para a versão 3.3.11 para Web/Desktop. Atualize para a versão 3.3.17 para Android/iOS.