Paolo Cavaglià

**Nome do Software Vulnerável e Versões Afetadas** Kubernetes Image Builder Nutanix (versões afetadas não especificadas) Provedores OVA (versões afetadas não especificadas) **Descrição** Imagens de VM criadas com Kubernetes Image Builder Nutanix ou provedores OVA podem utilizar credenciais padrão para imagens do Windows caso o usuário não as sobrescreva. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Plugin WP-Strava para versões do WordPress até a 2.12.1, inclusive **Descrição** A vulnerabilidade está relacionada a Stored Cross-Site Scripting (XSS) por meio das configurações de administração, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com permissões de nível de administrador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada. A vulnerabilidade afeta apenas instalações multisite e instalações nas quais a opção `unfiltered html` foi desativada. **Recomendações** Para o plugin WP-Strava para versões do WordPress até a 2.12.1, inclusive: atualize para a versão mais recente para mitigar os riscos. Como solução temporária, considere restringir o acesso às configurações de administração para minimizar o risco de exploração. Além disso, restringir o uso de unfiltered html nas instalações pode ajudar a reduzir o impacto da vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sistema PAM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que um invasor não autenticado execute comandos remotamente no sistema PAM afetado. Isso é feito através do envio de um arquivo de atualização do PAM especialmente criado para esse fim. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** PAM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que um invasor contorne os requisitos de autenticação de um endpoint PAM específico. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Não há menção a nenhum software ou versão específica nas descrições fornecidas. **Descrição** A vulnerabilidade permite que um usuário PAM mal-intencionado com privilégios limitados execute ações relacionadas à atualização do servidor. Não há informações sobre o número estimado de dispositivos potencialmente afetados ou incidentes reais em que essa vulnerabilidade tenha sido explorada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sistema PAM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que um invasor não autenticado execute comandos remotamente no sistema PAM afetado, enviando um arquivo de atualização do PAM especialmente criado para esse fim. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** PAM UI (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de cross-site scripting (XSS) refletido na interface web do PAM UI, permitindo que um invasor remoto possa executar código arbitrário no lado do cliente caso um usuário do PAM clique em um link especialmente criado. Isso poderia levar à execução de código no contexto do PAM UI. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** PAM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que um usuário PAM autenticado com privilégios elevados execute comandos remotamente no sistema PAM afetado, enviando uma solicitação HTTP especialmente criada para esse fim. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** PAM (versões afetadas não especificadas) **Descrição** Uma estratégia específica de autenticação no PAM permite que um invasor mal-intencionado obtenha os IDs de todos os usuários PAM definidos em seu banco de dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** PAM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que um usuário mal-intencionado do PAM com privilégios limitados acesse informações sobre outros usuários do PAM e suas afiliações a grupos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Não são mencionados nenhum software ou versões específicas. **Descrição** A vulnerabilidade permite que um invasor não autenticado leia informações arbitrárias do banco de dados. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo, nem detalhes sobre incidentes reais em que essa vulnerabilidade tenha sido explorada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sistema PAM (versões afetadas não especificadas) **Descrição** Uma validação inadequada de entradas no sistema PAM permite que um invasor não autenticado execute comandos remotamente ao enviar uma solicitação HTTP especialmente criada para esse fim. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** O plugin Invitation Code Content Restriction da CreativeMinds para versões do WordPress até a 1.5.4, inclusive **Descrição** A vulnerabilidade está relacionada a Cross-Site Scripting refletido (XSS) por meio do parâmetro `target id`, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link. **Recomendações** Para versões até a 1.5.4, inclusive, considere desativar o parâmetro `target id` até que um patch esteja disponível para impedir a exploração. Restrinja o acesso às funcionalidades do plugin para minimizar o risco de injeção de scripts web arbitrários. Evite usar o parâmetro `target id` em páginas afetadas até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.