Osageling

**Nome do Software Vulnerável e Versões Afetadas** electerm versões anteriores a 3.7.16 **Descrição** A função `runWidget()` em `src/app/widgets/load-widget.js` constrói um caminho de arquivo concatenando diretamente identificadores de widget fornecidos pelo usuário sem sanitização. Como a `runWidget()` está exposta ao processo de renderização via um manipulador IPC assíncrono sem validação de entrada, um invasor com capacidades de execução de JavaScript no renderizador — como por meio de um plugin malicioso ou uma falha de cross-site scripting no webview integrado — pode usar a travessia de caminho (`../`) para carregar e executar arquivos JavaScript arbitrários no sistema de arquivos da vítima. Isso pode levar à execução de código local com todos os privilégios do processo e ao comprometimento total do sistema. **Recomendações** Atualize para a versão 3.7.16 ou posterior. Não instale ou execute plugins não confiáveis. Evite carregar conteúdo web arbitrário dentro do webview integrado, desativando recursos que buscam e exibem HTML remoto. Execute o software em um ambiente sandboxed para limitar o impacto de uma possível execução de código.

**Nome do Software Vulnerável e Versões Afetadas** Electerm versões anteriores a 3.8.16 **Descrição** O manipulador de hiperlinks do terminal passa qualquer URL clicada no terminal diretamente para a função `shell.openExternal` sem validação de protocolo. Um invasor que controle a saída do terminal, como por meio de um servidor SSH malicioso, host remoto comprometido ou plugin malicioso, pode executar código arbitrário ou acessar arquivos locais se a vítima clicar em um link manipulado. Isso ocorre porque o manipulador de protocolo padrão do sistema operacional executa a URI, que pode ser abusada para acionar manipuladores perigosos como `ms-msdt:` e `search-ms:`, ou abrir arquivos locais e compartilhamentos de rede via `file://` e caminhos UNC para vazar hashes NTLM ou exfiltrar dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Não clique em nenhum link exibido em sessões de terminal conectadas a servidores não confiáveis. Desative a renderização de hiperlinks nas configurações do terminal. Execute o software em um ambiente restrito, como sandbox, AppArmor ou SELinux, para limitar a criação de manipuladores de protocolo.

**Nome do Software Vulnerável e Versões Afetadas** electerm versões 3.x e anteriores **Descrição** O manipulador IPC `getConstants()` em `src/app/lib/ipc-sync.js` serializa todo o objeto `process.env` e o envia para o renderizador, onde é armazenado como `window.pre.env`. Esses dados estão acessíveis a qualquer JavaScript em execução no renderizador, como através do console do DevTools ou de um contexto de webview comprometido. Um invasor com capacidades de execução de JavaScript no renderizador — potencialmente via plugins maliciosos, cross-site scripting (XSS) ou execução de hiperlinks de terminal — pode exfiltrar variáveis de ambiente sensíveis. Estas podem incluir `AWS SECRET ACCESS KEY`, `AWS SESSION TOKEN`, `GITHUB TOKEN`, `NPM TOKEN`, `OPENAI API KEY`, `DOCKER AUTH` e outras credenciais de serviços internos ou URLs de bancos de dados, levando potencialmente ao comprometimento de contas em nuvem, ataques à cadeia de suprimentos e movimentação lateral. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade. Evite iniciar o electerm com variáveis de ambiente sensíveis configuradas, utilizando scripts de shell ou perfis de terminal dedicados para limpar segredos antes de iniciar a aplicação. Não instale plugins de fontes não confiáveis e audite os plugins instalados quanto ao acesso à rede. Desative a porta de depuração remota e evite colar código não confiável no console do DevTools para restringir o contexto do renderizador.

**Nome do Software Vulnerável e Versões Afetadas** electerm versões anteriores a 3.7.9 **Descrição** Um problema de execução remota de código existe nos recursos de SFTP "abrir com editor do sistema" ou "Editar com editor personalizado". O aplicativo passa o nome do arquivo diretamente para uma linha de comando sem sanitização. Um invasor que controle o servidor SSH ou o sistema operacional do usuário pode criar um nome de arquivo contendo metacaracteres de shell. Quando a vítima tenta editar tal arquivo, os comandos injetados são executados na máquina local com os privilégios do usuário, permitindo potencialmente a instalação de malware ou movimentação lateral em uma rede. **Recomendações** Atualize para a versão 3.7.9 ou posterior. Evite usar os recursos "abrir com editor do sistema" ou "Editar com editor personalizado" ao se conectar a servidores SSH não confiáveis ou desconhecidos. Use o editor integrado para visualizar arquivos. Certifique-se de que as conexões sejam estabelecidas exclusivamente com servidores confiáveis e realize a validação rigorosa do nome do arquivo antes da edição.

**Nome do Software Vulnerável e Versões Afetadas** note-mark (versões afetadas não especificadas) **Descrição** O aplicativo não impõe um comprimento mínimo ou entropia para o valor de configuração `JWT SECRET`, aceitando qualquer segredo decodificável em base64, independentemente do tamanho. Em `backend/config/utils.go`, a função `Base64Decoded.UnmarshalText()` decodifica o segredo sem validar seu comprimento. Além disso, em `backend/core/auth.go`, os tokens são assinados usando HS256 sem requisitos de tamanho mínimo de chave. Segredos com menos de 32 bytes estão suscetíveis a ataques de força bruta offline, o que permite que um invasor recupere a chave de assinatura e forje JSON Web Tokens (JWT) válidos para qualquer usuário, incluindo administradores, resultando em assumição total de conta. **Recomendações** Impor um mínimo de 32 bytes (256 bits) para segredos JWT após a decodificação base64. Rejeitar segredos fracos durante a análise de configuração na função `Base64Decoded.UnmarshalText()` ou durante a validação da configuração.