Skelmis

**Nome do software vulnerável e versões afetadas** Versões do OpenObserve até a 0.9.1 **Descrição** A plataforma de observabilidade de código aberto OpenObserve apresenta uma falha de segurança na qual não sanitiza as entradas do usuário no menu de seleção de filtros, o que pode levar à apropriação total da conta. O front-end utiliza `DOMPurify` ou modelos Vue para escapar de scripts entre sites (XSS) em muitas áreas, mas certas partes carecem dessa proteção. Combinando a falta de proteção com o tratamento inseguro da autenticação, um usuário mal-intencionado pode ser capaz de assumir o controle da conta de qualquer vítima se seguir as etapas de exploração. **Recomendações** Para versões até a 0.9.1, como solução temporária, considere restringir o acesso ao menu de seleção de filtros até que um patch esteja disponível. Além disso, revise o tratamento da autenticação para garantir que seja seguro. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Emby Media Server versão 4.8.3.0 **Descrição** Uma vulnerabilidade de Stored Cross Site Scripting permite que um invasor remoto obtenha privilégios elevados por meio do componente notifications.html. **Recomendações** Para o Emby Media Server versão 4.8.3.0, considere desativar o acesso ao componente notifications.html até que uma correção esteja disponível para impedir a obtenção de privilégios elevados.

**Nome do Software Vulnerável e Versões Afetadas** Firefly III versões anteriores a 6.1.17 **Descrição** Existe uma omissão de MFA no fluxo OAuth do Firefly III, que permite que usuários mal-intencionados ignorem a verificação de autenticação de múltiplos fatores. Essa falha permite que atacantes utilizem password spraying—uma técnica onde senhas comuns são testadas em várias contas—para obter acesso a dados usando credenciais roubadas de outras fontes. Como as aplicações OAuth utilizam um ID incremental, elas são facilmente enumeráveis, permitindo que um atacante tente registrar uma aplicação OAuth no perfil de um usuário. A exploração bem-sucedida requer que o atacante possua o nome de usuário e a senha da vítima. **Recomendações** Atualizar para a versão 6.1.17 ou posterior. Utilizar uma senha exclusiva para a instância e armazená-la de forma segura em um gerenciador de senhas.

**Nome do software vulnerável e versões afetadas** Versões do ZITADEL anteriores à 2.50.0 **Descrição** O ZITADEL oferece aos usuários a possibilidade de utilizar senhas de uso único baseadas em tempo (TOTP) e senhas de uso único (OTP) por SMS e e-mail. Embora o ZITADEL já ofereça aos administradores a opção de definir uma `Política de Bloqueio` com um número máximo de tentativas de verificação de senha malsucedidas, não havia tal mecanismo para verificações (T)OTP. **Recomendações** Para versões anteriores à 2.50.0, atualize para a versão 2.50.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso às verificações (T)OTP até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do Piccolo Admin anteriores à 1.3.2 **Descrição** O problema diz respeito à interface do Piccolo Admin, que permite o envio de arquivos de mídia, incluindo arquivos SVG por padrão. Um invasor pode enviar um arquivo SVG malicioso que, ao ser carregado, pode proporcionar acesso arbitrário à página de administração. Esse acesso permite que o invasor execute várias ações, como obter acesso a todos os dados armazenados na página de administração, criar, modificar ou excluir registros de tabelas. A vulnerabilidade explora o contexto de uma sessão de administrador autenticada, permitindo que o invasor realize ações que normalmente seriam restritas. **Recomendações** Para versões anteriores à 1.3.2, atualize para a versão 1.3.2 ou posterior para resolver o problema. Como solução temporária, considere desativar o upload de arquivos SVG ou restringir o acesso ao painel de administração para minimizar o risco de exploração. Além disso, garantir que cabeçalhos de segurança adequados estejam configurados, como proteção contra XSS e uma política de segurança de conteúdo, pode ajudar a mitigar a vulnerabilidade. Modificar a geração do modelo Piccolo para incluir esses cabeçalhos de segurança por padrão ou forçar o navegador a baixar anexos em vez de renderizá-los inline também pode ser considerado.

**Name of the Vulnerable Software and Affected Versions** Piccolo versions prior to 1.1.1 **Description** The handling of named transaction savepoints in all database implementations is vulnerable to SQL Injection via f-strings. This could allow a malicious user to have direct access to the database and modify data to the level of permissions associated with the database user. Possible actions based on database permissions include reading all data stored in the database, inserting arbitrary data, and gaining a shell on the underlying server. **Recommendations** For versions prior to 1.1.1, update to version 1.1.1 to fix the issue. As a temporary workaround, consider restricting access to the `savepoint` method to minimize the risk of exploitation. Avoid passing user-provided input directly to `connection.execute` without proper escaping. Ensure all strings passed to `connection.execute` are properly escaped, regardless of how end-user facing they may be.

**Name of the Vulnerable Software and Affected Versions** ZITADEL versions prior to 2.38.2 ZITADEL versions prior to 2.39.2 **Description** ZITADEL is an identity infrastructure management system where users can upload their own avatar image using various image types, including SVG. SVG can include scripts, such as javascript, which can be executed during rendering. Due to a missing security header, an attacker could inject code to an SVG to gain access to the victim’s account in certain scenarios. A victim would need to directly open the malicious image in the browser, where a single session in ZITADEL needs to be active for this exploit to work. If the possible victim had multiple or no active sessions in ZITADEL, the attack would not succeed. **Recommendations** For versions prior to 2.38.2, update to version 2.38.2 or later to resolve the issue. For versions prior to 2.39.2, update to version 2.39.2 or later to resolve the issue. As a temporary workaround, consider restricting the upload of SVG images or disabling the rendering of SVG images in the browser until a patch is applied.

**Name of the Vulnerable Software and Affected Versions** Piccolo versions 0.120.0 and prior **Description** The implementation of `BaseUser.login` in Piccolo leaks enough information to a malicious user, allowing them to generate a list of valid users on the platform. This list can be used in a password spray attack to attempt to take over user accounts on the platform. The impact of this issue is minor, as it requires chaining with other attack vectors to gain more than just a list of valid users. The likelihood of this issue is possible, as it requires minimal skills to exploit, especially given that the underlying login functionality for Piccolo-based sites is open source. **Recommendations** For Piccolo versions 0.120.0 and prior, update to version 0.121.0 to resolve the issue. As a temporary workaround, consider restricting access to the `BaseUser.login` function until a patch is available. Avoid using the `username` and `password` parameters in the affected API endpoint until the issue is resolved.