Ngocnn97

**Nome do Software Vulnerável e Versões Afetadas** Prometheus versões 2.49.0 até 3.5.2 Prometheus versões 3.11.0 até 3.11.2 **Description** Na interface web legada, habilitada através da flag de linha de comando `--enable-feature=old-ui`, a visualização do gráfico de mapa de calor (heatmap) de histograma não escapa os valores de rótulo ao inseri-los no HTML para uso como rótulos de marcação do eixo. Isso permite que um invasor capaz de injetar métricas manipuladas execute JavaScript no navegador de qualquer usuário que visualize a métrica na interface do gráfico de mapa de calor. **Recommendations** Atualize para a versão 3.5.3. Atualize para a versão 3.11.3. Como mitigação temporária, desabilite a interface web legada removendo a flag `--enable-feature=old-ui`.

**Nome do Software Vulnerável e Versões Afetadas** toeverything AFFiNE versões anteriores a 0.26.4 **Description** Um bypass de autorização existe no Public Markdown Preview Endpoint. Um invasor remoto pode manipular a função `allowDocPreview` no endpoint '/workspace/:workspaceId/:docId' para ignorar os controles de autorização. **Recommendations** Atualize para uma versão posterior a 0.26.3. Como medida paliativa temporária, restrinja o acesso ao endpoint '/workspace/:workspaceId/:docId' ou desative a função `allowDocPreview`.

Nome do Software Vulnerável e Versões Afetadas DbGate versões até 7.1.4 Descrição Uma falsificação de solicitação do lado do servidor existe no componente REST/GraphQL. Este problema ocorre na função `apiServerUrl1` localizada no arquivo `packages/rest/src/openApiDriver.ts` e pode ser acionado remotamente. Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas aandrew-me ytDownloader versões até 3.20.2 Descrição Ocorre uma injeção de comando no recurso Compressor Feature dentro do arquivo `src/compressor.js`. Este problema é acionado por meio da função `child process.exec()` e só pode ser executado localmente. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas aandrew-me ytDownloader versões até 3.20.2 Descrição Um problema de cross-site scripting existe no componente Error Details Panel. Atacantes remotos podem explorar isso manipulando a função `createTextNode()`. Recomendações Como uma solução temporária, considere desativar a função `createTextNode()` no Error Details Panel até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** DbGate versões anteriores a 7.1.5 **Descrição** Um problema de cross-site scripting existe no componente SVG Icon String Handler dentro do arquivo `packages/web/src/icons/FontIcon.svelte`. A manipulação remota do argumento `applicationIcon` pode levar a esse problema. **Recomendações** Atualize para a versão 7.1.5.

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.6.4 Descrição O SiYuan é suscetível à execução remota de código (RCE) através de uma vulnerabilidade de scripting entre sites (XSS) armazenado em legendas de tabelas. O problema surge porque o conteúdo da legenda da tabela é armazenado sem escape adequado e posteriormente descriptografado em HTML renderizado, criando um sumidouro XSS. O renderizador do cliente de desktop SiYuan Electron está configurado com `nodeIntegration` habilitado e `contextIsolation` desabilitado, permitindo que o JavaScript controlado pelo invasor seja executado com acesso às APIs Node.js. Um invasor pode importar uma nota criada em um espaço de trabalho sincronizado e, quando a vítima sincronizar e abrir a nota, a execução do código pode ser alcançada. A vulnerabilidade é acionada por legendas de tabelas criadas contendo HTML codificado, como `<img src=x onerror=...>`, que são renderizadas como elementos DOM ativos. Uma carga útil como `require('child process').exec('calc')` pode ser usada para executar comandos na máquina da vítima. Recomendações Atualize para a versão 3.6.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Notesnook versões anteriores a 3.3.17 **Description** Um problema de Cross-Site Scripting (XSS) armazenado existe no fluxo de compartilhamento móvel e clipes da web. O problema ocorre porque os metadados de um clipe compartilhado são concatenados ao HTML sem a devida filtragem e, posteriormente, renderizados usando `innerHTML` dentro do WebView do editor de compartilhamento móvel. Um invasor pode manipular os metadados do título compartilhado, como metadados de compartilhamento do Android/iOS (TITLE ou SUBJECT) ou dados de título de pré-visualização de link, para injetar HTML malicioso. Quando um usuário abre o fluxo de compartilhamento e seleciona um clipe da web, a carga útil injetada é executada no WebView do editor móvel. **Recommendations** Atualizar para a versão 3.3.17.

Nome do Software Vulnerável e Versões Afetadas DbGate versões 7.0.0 através de 7.1.5 Descrição DbGate, um gerenciador de banco de dados multiplataforma, contém uma vulnerabilidade de scripting cross-site (XSS) armazenado devido a strings de ícones SVG controladas por um invasor sendo renderizadas como HTML bruto sem a devida sanitização. Na interface web, isso permite a execução de scripts no navegador de outro usuário. No aplicativo desktop Electron, isso pode levar à execução de código local porque o Electron está configurado com `nodeIntegration: true` e `contextIsolation: false`. A questão reside no caminho de renderização do ícone, especificamente dentro dos componentes `FontIcon.svelte`, `apps.js`, `DatabaseAppObject.svelte` e `AppObjectCore.svelte`. Um invasor pode explorar isso criando ou modificando uma definição de aplicativo para incluir um `applicationIcon` malicioso. Quando outro usuário visualizar uma entrada de banco de dados ou aplicativo correspondente, o código malicioso será executado. O impacto é mais grave no aplicativo desktop Electron devido à configuração que permite o acesso às APIs Node/Electron. Recomendações As versões 7.0.0 a 7.1.5 do DbGate devem ser atualizadas para a versão 7.1.5 ou posterior.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** SiYuan is a personal knowledge management system. A crafted block attribute value can bypass server-side attribute escaping when an HTML entity is mixed with raw special characters. An attacker can embed a malicious IAL value inside a `.sy` document, package it as a `.sy.zip`, and have the victim import it through the Import `.sy.zip` workflow. Once the note is opened, the malicious attribute breaks out of its original HTML context and injects an event handler, resulting in stored cross-site scripting (XSS). In the Electron desktop client, this XSS can lead to remote code execution because injected JavaScript runs with access to Node/Electron APIs. The issue involves manipulating block attributes and exploiting the interaction between HTML entities and special characters. **Recommendations** Update to version 3.6.2.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** The publish service in SiYuan allows unauthenticated visitors to access bookmarked blocks from password-protected documents. This occurs because the `/api/bookmark/getBookmark` endpoint, when operating in publish/read-only mode, calls the `FilterBlocksByPublishAccess(nil, ...)` function. Passing `nil` as the context bypasses the password check, allowing access to content from protected documents if at least one block within those documents is bookmarked. The vulnerable code path resides within the `kernel/api/bookmark.go` file, specifically in the `getBookmark` function, and the `FilterBlocksByPublishAccess` function in `kernel/model/publish access.go`. The issue stems from treating a `nil` context as authorized, effectively bypassing the intended password enforcement. **Recommendations** Versions prior to 3.6.2: Upgrade to version 3.6.2 or later to resolve this issue.

**Name of the Vulnerable Software and Affected Versions** SiYuan versions prior to 3.6.2 **Description** SiYuan is a personal knowledge management system susceptible to a stored cross-site scripting (XSS) issue. An attacker can inject a malicious URL into an Attribute View `mAsse` field. When a victim opens the Gallery or Kanban view with “Cover From -> Asset Field” enabled, the malicious URL is executed. The vulnerable code accepts arbitrary `http(s)` URLs without extensions as images, stores the attacker-controlled string in `coverURL`, and injects it directly into an `<img src="...">` attribute without proper escaping. In the Electron desktop client, the injected JavaScript executes with `nodeIntegration` enabled and `contextIsolation` disabled, leading to arbitrary OS command execution under the victim’s account. The vulnerable flow involves the `IsPossiblyImage(assetPath)` function accepting unsafe image URLs and the direct insertion of `coverURL` into the HTML without escaping. A payload such as `https://example.com/" onerror="require('child process').exec('calc')` can be used to trigger the XSS. **Recommendations** Versions prior to 3.6.2 should be updated to version 3.6.2 or later.

**Name of the Vulnerable Software and Affected Versions** Notesnook versions prior to 3.3.11 **Description** Notesnook is a note-taking app with a cross-site scripting issue present in the note history comparison viewer on Web/Desktop platforms. This issue can lead to remote code execution in the desktop application. The issue occurs when an attacker-controlled note header is displayed using the `dangerouslySetInnerHTML` function without proper security measures. The desktop application's Electron configuration, with `nodeIntegration` set to true and `contextIsolation` set to false, allows for the escalation to remote code execution when combined with the full backup and restore feature. The vulnerable function is `dangerouslySetInnerHTML`. The vulnerable parameter is the note header. **Recommendations** Update Notesnook to version 3.3.11 or later.

Nome do Software Vulnerável e Versões Afetadas Notesnook versões anteriores a 3.3.11 (Web/Desktop) e anteriores a 3.3.17 (Android/iOS) Descrição Notesnook é um aplicativo de anotações. Uma falha de scripting cross-site (XSS) armazenado no fluxo de renderização do Web Clipper pode ser explorada para alcançar a execução remota de código (RCE) no aplicativo desktop. A causa raiz é a preservação de atributos controlados por atacantes da raiz da página de origem dentro do HTML do web-clip. Quando esses clips são abertos, o Notesnook renderiza o HTML em um iframe de mesma origem e não isolado usando `contentDocument.write(...)`. Atributos de manipuladores de eventos como `onload`, `onclick` ou `onmouseover` são então executados dentro da origem do Notesnook. No aplicativo desktop, isso leva ao RCE porque o Electron está configurado com `nodeIntegration: true` e `contextIsolation: false`. Recomendações Atualize para a versão 3.3.11 para Web/Desktop. Atualize para a versão 3.3.17 para Android/iOS.