Thomas-Chauchefoin-Sonarsource

**Name of the Vulnerable Software and Affected Versions** Composer versions prior to 1.10.27 Composer versions prior to 2.2.22 Composer versions prior to 2.6.4 **Description** The issue is related to the Composer dependency manager for PHP. Users publishing a composer.phar to a public web-accessible server where the composer.phar can be executed as a php file may be subject to a remote code execution vulnerability if PHP also has `register argc argv` enabled in php.ini. **Recommendations** For versions prior to 1.10.27, upgrade to version 1.10.27 or later. For versions prior to 2.2.22, upgrade to version 2.2.22 or later. For versions prior to 2.6.4, upgrade to version 2.6.4 or later. As a temporary workaround, consider disabling the `register argc argv` setting in php.ini to minimize the risk of exploitation. Avoid publishing composer.phar to the web as this is not best practice.

**Name of the Vulnerable Software and Affected Versions** CasaOS versions prior to 0.4.4 **Description** CasaOS is an open-source Personal Cloud system. Due to a lack of IP address verification, an unauthenticated attacker can execute arbitrary commands as `root` on CasaOS instances. The problem was addressed by improving the detection of client IP addresses. **Recommendations** For versions prior to 0.4.4, upgrade to CasaOS 0.4.4. If upgrading to 0.4.4 is not possible, temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly.

**Name of the Vulnerable Software and Affected Versions** CasaOS versions prior to 0.4.4 **Description** Unauthenticated attackers can craft arbitrary JWTs and access features that usually require authentication, allowing them to execute arbitrary commands as `root` on CasaOS instances. This issue is related to weaknesses in the authentication procedure, specifically in the validation of JWTs. **Recommendations** For versions prior to 0.4.4, upgrade to CasaOS 0.4.4 to resolve the issue. If upgrading to 0.4.4 is not possible, temporarily restrict access to CasaOS to untrusted users, for instance by not exposing it publicly, to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Pacparser versions prior to 1.4.2 **Description** The issue allows JavaScript injection, and possibly privilege escalation, when the attacker controls the URL, which may be realistic within enterprise security products. **Recommendations** For versions prior to 1.4.2, update to version 1.4.2 or later to resolve the issue. As a temporary workaround, consider restricting access to the `pacparser find proxy` function until a patch is available.

**Name of the Vulnerable Software and Affected Versions** Soko versions prior to 1.0.2 **Description** The issue affects the package search handlers, `Search` and `SearchFeed`, implemented in `pkg/app/handler/packages/search.go`, allowing unauthenticated attackers to execute arbitrary SQL queries on `https://packages.gentoo.org/` via the `q` parameter. This can lead to code execution in the context of the PostgreSQL container. The issue was addressed using prepared statements to interpolate user-controlled data in SQL queries. **Recommendations** For versions prior to 1.0.2, update to version 1.0.2 or later, which includes the fix for the SQL injection issue by using prepared statements to interpolate user-controlled data in SQL queries. As a temporary workaround, consider restricting access to the `Search` and `SearchFeed` handlers until the update can be applied. Avoid using the `q` parameter in the affected API endpoint until the issue is resolved.

**Nome do software vulnerável e versões afetadas** Extensão Crypt GPG para versões do PHP anteriores à 1.6.7 **Descrição** O problema diz respeito à extensão Crypt GPG para PHP, que não consegue impedir opções adicionais nas chamadas GPG. Isso representa um risco para determinados ambientes e versões do GPG. **Recomendações** Para versões anteriores à 1.6.7, atualize para a versão 1.6.7 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Icinga Web 2 anteriores à 2.9.6 e à 2.10 **Descrição** A vulnerabilidade permite que usuários não autenticados divulguem o conteúdo de arquivos no sistema local acessíveis ao usuário do servidor web, incluindo arquivos de configuração do `icingaweb2` com credenciais de banco de dados. Isso se deve a restrições insuficientes de nomes de caminho na estrutura PHP. Um invasor pode explorar isso para executar código arbitrário remotamente. **Recomendações** Para versões anteriores à 2.9.6, atualize para a versão 2.9.6 ou posterior. Para versões anteriores à 2.10, atualize para a versão 2.10 ou posterior. Como medida geral, alterne as credenciais do banco de dados para minimizar os danos potenciais decorrentes do vazamento de credenciais.

**Nome do software vulnerável e versões afetadas** Versões do Composer anteriores à 1.10.22 Versões do Composer anteriores à 2.0.13 **Descrição** O problema está relacionado à sanitização incorreta de URLs para repositórios Mercurial no arquivo composer.json raiz e nas URLs de download de código-fonte de pacotes. Isso permite que valores de URL especificamente criados executem código no HgDriver se o hg/Mercurial estiver instalado no sistema. O impacto afeta principalmente serviços que transmitem entradas do usuário ao Composer, incluindo o Packagist.org e o Private Packagist, pois permite que usuários acionem a execução remota de código. A vulnerabilidade foi corrigida no Packagist.org e no Private Packagist dentro de 12 horas após o recebimento do relatório inicial de vulnerabilidade e, com base na análise dos logs, acredita-se que a vulnerabilidade não tenha sido explorada por ninguém. **Recomendações** Para versões anteriores à 1.10.22, atualize para a versão 1.10.22 ou posterior para corrigir o problema. Para versões anteriores à 2.0.13, atualize para a versão 2.0.13 ou posterior para corrigir o problema. Como solução alternativa temporária, considere desativar o HgDriver até que uma correção esteja disponível. Restrinja o acesso ao VcsRepository/VcsDriver ou derivados para minimizar o risco de exploração. Evite usar valores de URL especialmente criados no arquivo composer.json e URLs de download de código-fonte de pacotes até que o problema seja resolvido.