Takeshi Kaneko

**Nome do Software Vulnerável e Versões Afetadas** versões do golang de 1.15 a 1.19 **Descrição** O problema afeta pacotes do golang no Debian Linux. Não há detalhes adicionais disponíveis devido à falta de informações de fontes de alta prioridade. **Recomendações** Para a versão 1.15 do golang, atualize para uma versão fora do intervalo afetado. Para a versão 1.19 do golang, atualize para uma versão fora do intervalo afetado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do FitNesse anteriores à 20241026 **Descrição** Existe uma vulnerabilidade de traversal de caminho devido à limitação inadequada de um nome de caminho a um diretório restrito. Se explorada, um invasor pode ser capaz de determinar se um arquivo existe em um caminho específico e/ou obter parte do conteúdo do arquivo sob condições específicas. **Recomendações** Para versões anteriores à 20241026, atualize para uma versão lançada em ou após 20241026 para resolver o problema. Como solução temporária, considere restringir o acesso a arquivos e diretórios confidenciais para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do FitNesse anteriores à 20241026 **Descrição** Existe uma vulnerabilidade de cross-site scripting que, se explorada, permite a execução de um script arbitrário no navegador do usuário. **Recomendações** Para versões anteriores à 20241026, atualize para uma versão lançada após 20241026 para resolver o problema. Como solução temporária, considere restringir o acesso a recursos confidenciais ou campos de entrada para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** html/template package (affected versions not specified) **Description** The issue is related to the html/template package not applying proper rules for handling occurrences of "<script", "<!--", and "</script" within JS literals in <script> contexts. This may cause the template parser to improperly consider script contexts to be terminated early, causing actions to be improperly escaped. The exploitation of this issue could allow a remote attacker to perform a cross-site scripting (XSS) attack. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Go versions prior to 1.20.8 dev-go/go-tools versions prior to 0.3.0 **Description** The issue is related to the html/template package in the Go programming language, which does not properly handle HTML-like comment tokens or hashbang "#!" comment tokens in <script> contexts. This may cause the template parser to improperly interpret the contents of <script> contexts, leading to actions being improperly escaped. As a result, it may be leveraged to perform a cross-site scripting (XSS) attack. **Recommendations** For Go versions prior to 1.20.8, upgrade to version 1.20.8 or later to resolve the issue. For dev-go/go-tools versions prior to 0.3.0, upgrade to version 0.3.0 or later to resolve the issue. As a temporary workaround, consider restricting the use of the html/template package in <script> contexts until a patch is available.

**Name of the Vulnerable Software and Affected Versions** vm2 versions 3.9.17 and lower **Description** The issue allows a threat actor to get a read-write reference to the node `inspect` method and edit options for `console.log`, resulting in the ability to edit options for the `console.log` command. This was possible due to a flaw in vm2, a sandbox that can run untrusted code with Node's built-in modules. **Recommendations** For versions 3.9.17 and lower, upgrade to version 3.9.18 or higher. As a temporary workaround for users unable to upgrade, make the `inspect` method readonly with `vm.readonly(inspect)` after creating a vm.

**Name of the Vulnerable Software and Affected Versions** vm2 versions up to and including 3.9.17 **Description** A sandbox escape issue exists in vm2, allowing a threat actor to bypass sandbox protections and gain remote code execution rights on the host. This is achieved by abusing an unexpected creation of a host object based on the specification of `Proxy`. The vulnerability can be exploited by a remote attacker to execute arbitrary code. **Recommendations** For versions up to and including 3.9.17, upgrade to version 3.9.18 or later to patch the vulnerability. As a temporary workaround, consider restricting access to the `Proxy` specification until a patch is applied. There are no known workarounds for this vulnerability. Users are advised to upgrade to a patched version to mitigate the risk.