St4R

**Nome do Software Vulnerável e Versões Afetadas** activepieces versões anteriores a 0.83.0 **Description** Um server-side request forgery (SSRF) remoto existe no componente File URL Handler. O problema está localizado na função `handleUrlFile()` na biblioteca `packages/server/engine/src/lib/variables/processors/file.ts`. SSRF é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, considere restringir o uso da função `handleUrlFile()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** langflow-ai langflow versões anteriores a 1.9.4 **Descrição** Um problema existe no componente Bundle URL Loader onde a manipulação de uma função desconhecida permite a injeção de código. Este ataque deve ser realizado localmente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** FlowiseAI Flowise versões anteriores a 3.1.3 **Descrição** Um problema de path traversal existe no componente S3 Document Loader, especificamente em uma função desconhecida do arquivo `packages/components/nodes/documentloaders/S3/S3.ts`. Esta falha permite que um invasor remoto realize uma manipulação que leva ao acesso não autorizado a arquivos ou diretórios fora da pasta pretendida. **Recomendações** Atualize para uma versão posterior a 3.1.2. Como medida paliativa temporária, restrinja o uso do componente S3 Document Loader até que uma correção seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** coollabsio coolify versões 4.0.0 até 4.1.1 **Descrição** Uma falha de injeção de comando de SO existe no componente Image Name Handler. Este problema permite que um invasor remoto execute comandos arbitrários do sistema operacional através da manipulação de uma função desconhecida dentro desse componente. **Recomendações** Atualize para a versão 4.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Tenda AC6 versão 15.03.06.23 **Description** Uma injeção de comando de SO remota existe no componente `httpd`. O problema ocorre na função `get log file()` do endpoint '/goform/getLogFile', onde a manipulação inadequada do argumento `wans.flag` permite a execução de comandos arbitrários do sistema operacional. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint '/goform/getLogFile' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Tenda AC6 versão 15.03.06.23 **Descrição** Uma fraqueza no componente `httpd` permite a injeção remota de comandos do sistema operacional. O problema existe na função `formWifiApScan()` localizada no endpoint `/goform/WifiApScan`. Um invasor pode disparar isso manipulando os argumentos `wl2g.public.country` ou `wl5g.public.country`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint `/goform/WifiApScan` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Tenda AC6 2.0 versão 15.03.06.23 **Descrição** Um problema de injeção de comando de SO existe no componente httpd dentro do arquivo '/goform/telnet'. Isso ocorre quando o argumento `lan.ip` é manipulado, permitindo a exploração remota. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Tenda AC6 versão 15.03.06.49 multi TDE01 **Descrição** Uma falha no componente `httpd` permite que atacantes remotos realizem a injeção de comandos do sistema operacional. O problema reside na função `fromSetWirelessRepeat()` localizada no endpoint '/goform/WifiExtraSet', onde a manipulação dos argumentos `mac` ou `ssid` possibilita a execução de comandos arbitrários do sistema operacional. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao endpoint '/goform/WifiExtraSet' ou evite o uso dos parâmetros `mac` e `ssid` nesse endpoint.

**Nome do Software Vulnerável e Versões Afetadas** D-Link DNS-320 versão 2.06B01 **Descrição** Uma falha no endpoint '/cgi-bin/webfile mgr.cgi' permite que atacantes remotos realizem a injeção de comandos do sistema operacional (OS command injection). Isso ocorre por meio da manipulação das funções `delete`, `rename`, `copy`, `move`, `chmod` e `chown`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** D-Link DNS-320 versão 2.06B01 **Descrição** A injeção remota de comandos do sistema operacional é possível através do endpoint '/cgi-bin/network mgr.cgi'. O problema reside nas funções `cgi speed()`, `cgi dhcpd lease()`, `cgi ddns()`, `cgi set ip()`, `cgi upnp del()`, `cgi dhcpd()`, `cgi upnp add()` e `cgi upnp edit()`. Isso permite que um invasor remoto execute comandos arbitrários do sistema operacional no dispositivo. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** D-Link DNS-320 versão 2.06B01 **Descrição** Uma fraqueza no arquivo '/cgi-bin/system mgr.cgi' permite a injeção remota de comandos do sistema operacional. Este problema afeta as funções `cgi set host()`, `cgi set ntp()`, `cgi fan control()` e `cgi merge user()`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Wavlink WL-WN530H4 versões anteriores a 2026.04.16 **Description** A injeção de comando de SO é possível no arquivo '/cgi-bin/internet.cgi' através da manipulação das funções `strcat()` e `snprintf()`. Este problema permite que um invasor remoto execute comandos arbitrários do sistema operacional. **Recommendations** Atualizar para a versão 2026.04.16.