Tony Torralba

**Nome do software vulnerável e versões afetadas** Versões do Meshery anteriores à 0.7.22 **Descrição** Uma vulnerabilidade de injeção de SQL pode permitir a gravação arbitrária de arquivos por meio do uso de uma carga de consulta com injeção de SQL em cadeia e do comando `ATTACH DATABASE`. Os invasores podem conseguir acessar e modificar quaisquer dados armazenados no banco de dados, incluindo perfis de desempenho, dados da aplicação Meshery ou configuração do Kubernetes. O projeto Meshery expõe a função `GetMeshSyncResourcesKinds` no endpoint da API “/api/system/meshsync/resources/kinds”. O parâmetro de consulta `order` é usado diretamente para construir uma consulta SQL em `meshync handler.go`. **Recomendações** Para versões do Meshery anteriores à 0.7.22, atualize para a versão 0.7.22 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API `/api/system/meshsync/resources/kinds` até que um patch esteja disponível. Evite usar o parâmetro de consulta `order` no endpoint da API afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Meshery anteriores à 0.7.22 **Descrição** Uma vulnerabilidade de injeção de SQL pode levar à gravação arbitrária de arquivos por meio do uso de uma carga de consultas empilhadas de injeção de SQL e do comando ATTACH DATABASE. Os invasores podem acessar e modificar quaisquer dados armazenados no banco de dados, como perfis de desempenho, dados do aplicativo Meshery ou qualquer configuração do Kubernetes adicionada ao sistema. O projeto Meshery expõe a função `GetAllEvents` no endpoint da API “/api/v2/events”. O parâmetro de consulta `sort`, lido em `events streamer.go`, é usado diretamente para construir uma consulta SQL em `events persister.go`. **Recomendações** Para versões anteriores à 0.7.22, atualize para a versão 0.7.22 ou posterior, que corrige esse problema usando a função `SanitizeOrderInput`. Como solução alternativa temporária, considere restringir o acesso ao endpoint da API `/api/v2/events` até que o problema seja resolvido. Evite usar o parâmetro de consulta `sort` no endpoint da API afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Owncast anteriores à 0.1.3 **Descrição** O Owncast é um servidor de streaming de vídeo ao vivo e chat de código aberto, auto-hospedado e descentralizado para um único usuário. O aplicativo Owncast disponibiliza uma API de administrador na URL “/api/admin”. O endpoint “emoji/delete” dessa API permite que administradores excluam emojis personalizados, que são salvos no disco. O parâmetro `name` é obtido da solicitação JSON e anexado diretamente ao caminho do arquivo que aponta para o emoji a ser excluído. Ao usar sequências de traversal de caminho (../), invasores com privilégios administrativos podem explorar esse endpoint para excluir arquivos arbitrários no sistema, fora do diretório de emojis. **Recomendações** Para versões anteriores à 0.1.3, atualize para a versão 0.1.3 para resolver o problema. Como solução temporária, considere restringir o acesso ao endpoint “/api/admin”, especificamente ao endpoint “emoji/delete”, para minimizar o risco de exploração. Evite usar o parâmetro `name` no endpoint da API afetado até que o problema seja resolvido.

**Nome do software vulnerável e versões afetadas** Versões do Meshery anteriores à 0.7.17 **Descrição** Uma vulnerabilidade de injeção de SQL permite que um invasor remoto obtenha informações confidenciais por meio do parâmetro `order` da função `GetMeshSyncResources`. Isso compromete a capacidade do Meshery de gerenciar com segurança infraestruturas e aplicativos baseados no Kubernetes. **Recomendações** Para versões anteriores à 0.7.17, atualize para a versão 0.7.17 para resolver o problema. Como solução temporária, considere restringir o acesso à função `GetMeshSyncResources` ou evitar o uso do parâmetro `order` até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** Redisson versions prior to 3.22.0 **Description** The issue concerns a Java Redis client that uses the Netty framework. Prior to version 3.22.0, some messages received from the Redis server contain Java objects that the client deserializes without further validation. Attackers can trick clients into communicating with a malicious server, including specially crafted objects in its responses that, once deserialized by the client, force it to execute arbitrary code. This can be abused to take control of the machine the client is running on. **Recommendations** For versions prior to 3.22.0, update to version 3.22.0 to resolve the issue. As a temporary workaround, consider restricting the allowed classes for deserialization by using the `SerializationCodec(ClassLoader classLoader, Set<String> allowedClasses)` constructor. Avoid using the `Kryo5Codec` as deserialization codec, as it is still vulnerable to arbitrary object deserialization due to the `setRegistrationRequired(false)` call. Use `KryoCodec` as a safe alternative for deserialization.

**Name of the Vulnerable Software and Affected Versions** Jenkins Bitbucket Push and Pull Request Plugin versions 2.4.0 through 2.8.3 **Description** The issue allows attackers to capture Bitbucket credentials stored in Jenkins by sending a crafted webhook payload. This is possible because the plugin trusts values provided in the webhook payload, including certain URLs, and uses configured Bitbucket credentials to connect to those URLs. **Recommendations** For Jenkins Bitbucket Push and Pull Request Plugin versions 2.4.0 through 2.8.3, update to a version that fixes the issue, as the current versions trust values provided in the webhook payload, allowing potential exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Aerospike Java Client versions prior to 7.0.0 Aerospike Java Client versions prior to 6.2.0 Aerospike Java Client versions prior to 5.2.0 Aerospike Java Client versions prior to 4.5.0 **Description** The Aerospike Java client has a vulnerability related to the deserialization of Java objects received from the server. Attackers can trick clients into communicating with a malicious server, which can include crafted objects in its responses that force the client to execute arbitrary code when deserialized. This can be abused to take control of the machine the client is running on. The issue is related to the `ObjectInputStream` used in the `Buffer.bytesToObject` method, which deserializes objects from the message bytes without proper validation. **Recommendations** For versions prior to 7.0.0, update to version 7.0.0 or later. For versions prior to 6.2.0, update to version 6.2.0 or later. For versions prior to 5.2.0, update to version 5.2.0 or later. For versions prior to 4.5.0, update to version 4.5.0 or later. As a temporary workaround, consider avoiding deserialization of untrusted data if possible, and use other formats like JSON or XML instead of serialized objects. However, be aware that these formats should not be deserialized into complex objects to minimize attack opportunities.

**Name of the Vulnerable Software and Affected Versions** Jenkins External Monitor Job Type Plugin versions 206.v9a 94ff0b 4a 10 and earlier **Description** The issue allows attackers with Item/Build permission to have Jenkins parse a crafted HTTP request with XML data that uses external entities for extraction of secrets from the Jenkins controller or server-side request forgery. This is due to the plugin not configuring its XML parser to prevent XML external entity (XXE) attacks. **Recommendations** For versions 206.v9a 94ff0b 4a 10 and earlier, update to version 207.v98a a 37a 85525 or later, which disables external entity resolution for its XML parser. As a temporary workaround, consider restricting access to the plugin's XML parser to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Jenkins MathWorks Polyspace Plugin versions 1.0.5 and earlier **Description** The issue allows attackers with Item/Configure permission to send emails with arbitrary files from the Jenkins controller file system. This is due to the lack of restriction on the path of attached files in the Polyspace Notification post-build step. **Recommendations** For Jenkins MathWorks Polyspace Plugin versions 1.0.5 and earlier, consider restricting access to the Polyspace Notification post-build step to prevent attackers from sending emails with arbitrary files. As a temporary workaround, restrict the Item/Configure permission to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Jenkins AWS CodeCommit Trigger Plugin versions 3.0.12 and earlier **Description** The issue allows attackers with Item/Read permission to obtain the contents of arbitrary files on the Jenkins controller file system due to the lack of restriction on the AWS SQS queue name path parameter in an HTTP endpoint. **Recommendations** For Jenkins AWS CodeCommit Trigger Plugin versions 3.0.12 and earlier, consider restricting access to the HTTP endpoint until a patch is available. As a temporary workaround, restrict the Item/Read permission to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** ownCloud Android app versions prior to 3.0 **Description** The ownCloud Android app has an incomplete fix for a path traversal issue and is vulnerable to two bypass methods. These bypasses may lead to information disclosure when uploading the app's internal files and to arbitrary file write when uploading plain text files, although this is limited by the .txt extension. **Recommendations** For versions prior to 3.0, update to version 3.0 to fix the reported bypasses. As a temporary workaround, consider restricting file uploads to minimize the risk of exploitation. Avoid using the app to upload plain text files until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** ownCloud Android app version 2.21.1 ownCloud Android app versions 3.0 and earlier **Description** The ownCloud Android app is affected by a SQL injection issue in `FileContentProvider.kt`, which can lead to information disclosure. Two databases, `filelist` and `owncloud database`, are impacted. Although the `filelist` database was deprecated in version 3.0, injections affecting `owncloud database` remain relevant as of version 3.0. **Recommendations** For version 2.21.1, consider updating to a version where the SQL injection issue in `FileContentProvider.kt` is fixed. For versions 3.0 and earlier, restrict access to the `owncloud database` to minimize the risk of exploitation until a patch is available. As a temporary workaround, consider disabling the `FileContentProvider.kt` function until a patch is available.

**Nome do software vulnerável e versões afetadas** Versões do Apache OFBiz anteriores à 18.12.06 **Descrição** O problema decorre da forma como o Apache OFBiz lida com URLs fornecidas por usuários externos não autenticados, tornando-o vulnerável a ataques de negação de serviço por expressão regular (ReDoS). **Recomendações** Para versões anteriores à 18.12.06, atualize para a versão 18.12.06 ou aplique os patches necessários para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do Apache Tapestry até a 5.8.1 **Descrição** O problema está relacionado a um ataque de negação de serviço por expressão regular (ReDoS) na forma como o Apache Tapestry lida com tipos de conteúdo. Tipos de conteúdo especialmente criados podem causar um backtracking catastrófico, levando um tempo exponencial para ser concluído, devido à expressão regular usada no parâmetro da classe `org.apache.tapestry5.http.ContentType`. Essa vulnerabilidade não pode ser acionada apenas por solicitações da web no código do Tapestry e só ocorreria se código não pertencente ao Tapestry passasse entradas externas para o construtor da classe `ContentType`. **Recomendações** Para versões do Apache Tapestry até a 5.8.1, atualize para a versão 5.8.2 para resolver o problema. Como solução temporária, considere restringir o uso da classe `org.apache.tapestry5.http.ContentType` para minimizar o risco de exploração, especialmente ao lidar com entradas externas.

**Nome do software vulnerável e versões afetadas** Não há informações disponíveis sobre o software vulnerável e suas versões afetadas. **Descrição** A questão está relacionada a um problema de segurança, mas não foram fornecidos detalhes. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do JetBrains PyCharm anteriores à 2020.3.4 **Descrição** A vulnerabilidade permite a execução de código local devido a verificações insuficientes ao obter o projeto do VCS. **Recomendações** Para versões anteriores à 2020.3.4, atualize para a versão 2020.3.4 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Versões do JetBrains YouTrack anteriores à 2020.6.8801 Descrição: O problema diz respeito à divulgação de informações na visualização de uma tarefa. Recomendações: Para versões anteriores à 2020.6.8801, atualize para a versão 2020.6.8801 ou posterior para resolver o problema.