Oscar Uribe

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Descrição** Um problema de Cross-Site Scripting (XSS) Armazenado existe no componente Audit Trail. Isso ocorre porque a entrada controlada pelo usuário não é neutralizada adequadamente antes de ser usada para gerar a saída HTML. O XSS Armazenado é um tipo de vulnerabilidade onde um script malicioso é armazenado permanentemente no servidor alvo, que então serve o script para outros usuários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário no componente `frappe.ui.Tree`. Isso permite que scripts maliciosos sejam armazenados e executados ao renderizar rótulos de nós na visualização em árvore (Tree View). **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Descrição** Um problema de Cross-Site Scripting (XSS) Armazenado existe devido à neutralização inadequada de entrada controlada pelo usuário no componente Number Card, afetando especificamente a renderização dos campos de filtro. O XSS Armazenado ocorre quando uma aplicação recebe dados de um usuário e inclui esses dados em suas respostas HTTP posteriores de forma insegura, permitindo que um script malicioso seja armazenado permanentemente no servidor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre no componente Number Card quando dados controlados pelo usuário são avaliados de forma insegura. Isso acontece especificamente na variável `filters config`, onde o uso da função `eval()` permite a execução de scripts maliciosos. **Recommendations** Como medida paliativa temporária, restrinja o uso da variável `filters config` no componente Number Card até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário no painel Notifications > Events. Isso permite que um invasor armazene scripts maliciosos que são posteriormente executados no navegador de outros usuários quando o painel afetado é renderizado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário no componente `MultiSelectDialog`. O XSS Armazenado é um tipo de vulnerabilidade onde um script malicioso é armazenado permanentemente no servidor alvo e, posteriormente, servido a outros usuários. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) ocorre devido à neutralização inadequada de entradas não confiáveis no renderizador de manchetes do Form Dashboard. Isso permite XSS armazenado, onde scripts maliciosos são armazenados permanentemente no servidor e servidos a outros usuários. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário no renderizador de breadcrumbs da Visualização de Arquivos (File View). O XSS Armazenado é um tipo de vulnerabilidade onde um script malicioso é armazenado permanentemente no servidor alvo e, posteriormente, servido a outros usuários. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário no renderizador de ícones da área de trabalho do Desk. O XSS Armazenado é um tipo de vulnerabilidade onde um script malicioso é armazenado permanentemente no servidor alvo e, posteriormente, servido a outros usuários. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Refletido ocorre no componente `dashboard-view` devido à neutralização inadequada de entrada controlada pelo usuário durante a renderização de breadcrumbs. O XSS Refletido é um tipo de ataque onde um script malicioso é refletido de uma aplicação web para o navegador da vítima. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Descrição** Um problema de Cross-Site Scripting (XSS) Armazenado ocorre devido à neutralização inadequada de entrada controlada pelo usuário na função `frappe.get avatar()` durante a renderização de imagens. O XSS Armazenado é um tipo de vulnerabilidade onde um script malicioso é armazenado permanentemente no servidor alvo e, posteriormente, servido a outros usuários. **Recomendações** Como medida paliativa temporária, considere restringir o uso da função `frappe.get avatar()` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Frappe Framework versão 17.0.0-dev **Description** Um problema de Cross-Site Scripting (XSS) Armazenado permite que um invasor autenticado com acesso de escrita ao Auto Repeat persista HTML ou JavaScript na variável `reference document` através de um caminho de escrita permitido (whitelisted). O script é executado quando os usuários abrem o formulário Auto Repeat afetado. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** X-VPN macOS website versões 77.0 a 77.5 **Descrição** Uma condição de corrida (race condition) e a manipulação de links simbólicos (symlink) no fluxo de trabalho de quarentena e restauração permitem que um invasor local cause a corrupção de arquivos privilegiados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** glp versões anteriores a 11.0.7 **Descrição** Um usuário não autenticado com acesso de escrita à base de conhecimento pode armazenar um payload de Cross-Site Scripting (XSS) em um item da base de conhecimento. XSS é um tipo de falha de segurança onde scripts maliciosos são injetados em sites confiáveis. **Recomendações** Atualize para a versão 11.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Corteza versão 2024.9.8 **Description** Existe um problema no backend do Microsoft SQL Server (MSSQL) ao filtrar registros do Compose pelo campo `meta`, o que permite a injeção de SQL. A injeção de SQL é um tipo de falha que permite que um invasor interfira nas consultas que uma aplicação faz ao seu banco de dados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Helpy versão 2.8.0 **Descrição** Um problema de cross-site scripting armazenado existe na lógica de exibição do autor da postagem. Um usuário registrado pode persistir HTML arbitrário no campo de nome da conta, que é então renderizado sem escape em tópicos de fóruns públicos, na visualização de tickets do administrador e em e-mails de notificação HTML enviados a outros usuários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Helpy versão 2.8.0 **Descrição** Um problema de cross-site scripting armazenado existe na lógica de renderização de Documentos da base de conhecimento. Um invasor autenticado com privilégios de administrador ou editor de agente pode persistir HTML ou JavaScript arbitrário no campo `body` de um Documento da base de conhecimento. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Frappe versão 16.10.0 **Description** Um invasor autenticado pode persistir valores manipulados em múltiplos tipos de campos para disparar a execução de scripts no lado do cliente quando outro usuário abre o documento afetado no Desk. Isso ocorre porque implementações de formatadores vulneráveis interpolam valores armazenados em atributos HTML brutos e conteúdo de elementos sem a devida filtragem. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Frappe versão 16.10.10 **Description** Um invasor autenticado pode armazenar um valor de tag manipulado em ` user tags` para disparar a execução de JavaScript quando uma vítima abre a visualização de lista ou relatório onde as tags são renderizadas. Isso ocorre porque o renderizador interpola o conteúdo da tag em atributos HTML e conteúdo de elementos sem a devida filtragem. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** iBoysoft NTFS for Mac versão 8.0.0 **Descrição** O iBoysoft NTFS for Mac contém uma vulnerabilidade de escalonamento de privilégio local em seu daemon auxiliar privilegiado, `ntfshelperd`. O daemon expõe um serviço NSConnection que opera com privilégios de root sem implementar nenhuma verificação de autenticação ou autorização. Isso possibilita potencial acesso não autorizado e controle sobre o sistema. **Recomendações** Atualize o iBoysoft NTFS for Mac para uma versão com a correção. Como solução temporária, considere desativar o daemon `ntfshelperd` até que um patch esteja disponível.