Solov9Ev

**Name of the Vulnerable Software and Affected Versions** Concrete CMS (previously concrete5) versions 8.5.12 and below Concrete CMS (previously concrete5) versions 9.0.0 through 9.0.2 **Description** The issue is related to Stored XSS in uploaded file and folder names. **Recommendations** For Concrete CMS (previously concrete5) versions 8.5.12 and below, update to version 9.1 or later. For Concrete CMS (previously concrete5) versions 9.0.0 through 9.0.2, update to version 9.1 or later.

**Nome do software vulnerável e versões afetadas** Versões do revive-adserver anteriores à 5.3.0 **Descrição** O problema está relacionado à geração de IDs de sessão, que se baseia na função PHP `uniqid()`, considerada criptograficamente insegura. Isso poderia permitir que um invasor tentasse adivinhar os IDs de sessão por força bruta e assumisse o controle de uma conta específica em determinadas circunstâncias. **Recomendações** Para versões anteriores à 5.3.0, atualize para a versão 5.3.0 ou posterior para resolver o problema. Como solução temporária, considere implementar medidas de segurança adicionais para proteger contra ataques de força bruta aos IDs de sessão.

**Nome do software vulnerável e versões afetadas** Versões do Revive Adserver anteriores à 5.2.0 **Descrição** A vulnerabilidade permite que um invasor execute código JavaScript injetado, induzindo um usuário a clicar em uma URL criada especificamente para esse fim. Isso se deve a uma vulnerabilidade de XSS refletido no parâmetro `status` do endpoint “campaign-zone-zones.php”. **Recomendações** Para versões anteriores à 5.2.0, atualize para a versão 5.2.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “campaign-zone-zones.php” para minimizar o risco de exploração. Evite usar o parâmetro `status` no endpoint afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Revive Adserver anteriores à 5.2.0 **Descrição** O problema está relacionado a uma vulnerabilidade XSS refletida, causada pelo fato de as aspas simples não serem escapadas no parâmetro `statsBreakdown` do arquivo stats.php e, possivelmente, em outros scripts. Um invasor poderia induzir um usuário a clicar em uma URL especialmente criada e pressionar uma determinada combinação de teclas para executar código JavaScript injetado. **Recomendações** Para versões anteriores à 5.2.0, atualize para a versão 5.2.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao script stats.php e evitar o uso do parâmetro `statsBreakdown` até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Revive Adserver anteriores à 5.1.1 **Descrição** O problema está relacionado a uma vulnerabilidade XSS refletida. Ela afeta o arquivo userlog-index.php por meio do parâmetro `period preset`. **Recomendações** Para versões anteriores à 5.1.1, atualize para a versão 5.1.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo userlog-index.php ou evitar o uso do parâmetro `period preset` até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do Revive Adserver anteriores à 5.1.1 **Descrição** O problema está relacionado a uma vulnerabilidade XSS refletida. Ela afeta o arquivo stats.php por meio do parâmetro `setPerPage`. **Recomendações** Para versões anteriores à 5.1.1, atualize para a versão 5.1.1 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao arquivo stats.php ou evitar o uso do parâmetro `setPerPage` até que a atualização seja aplicada.