Rekczh

A vulnerability was detected in halo-dev halo up to 2.24.2. Affected by this vulnerability is the function Download of the file MigrationEndpoint.java of the component Files Backup Endpoint. Performing a manipulation results in path traversal. The attack is possible to be carried out remotely. The exploit is now public and may be used.

**Nome do Software Vulnerável e Versões Afetadas** MyEMS versões anteriores a 6.5.0 **Description** Um problema existe no componente Admin Backend dentro da função `on post()` do arquivo `myems-api/core/svg.py`. Atacantes remotos podem desencadear cross-site scripting (XSS)—uma técnica usada para injetar scripts maliciosos em páginas web visualizadas por outros usuários—ao manipular a variável `new values['data']`. **Recommendations** Atualizar para a versão 6.5.0.

**Nome do Software Vulnerável e Versões Afetadas** halo-dev halo versões anteriores a 2.24.3 **Description** Um problema de path traversal existe no componente Theme Installation, especificamente na função `ThemeUtils.unzipThemeTo()` do arquivo `ThemeUtils.java`. Isso ocorre quando o argumento `metadata.name` é manipulado, permitindo que um invasor remoto realize o path traversal, que é um método usado para acessar arquivos e diretórios armazenados fora da pasta pretendida. **Recommendations** Atualize o halo-dev halo para uma versão posterior a 2.24.2. Como medida de mitigação temporária, restrinja o uso da função `ThemeUtils.unzipThemeTo()` até que a atualização seja aplicada.