Wetneb

**Nome do software vulnerável e versões afetadas** Versões do OpenRefine anteriores à 3.8.3 **Descrição** O problema está relacionado à falta de proteção contra falsificação de solicitação entre sites (CSRF) no comando `preview-expression`. Isso significa que acessar um site malicioso pode fazer com que uma expressão controlada pelo invasor seja executada, podendo conter código Clojure ou Python arbitrário. O invasor precisa conhecer um ID válido de um projeto que contenha pelo menos uma linha e convencer a vítima a abrir uma página da web maliciosa. **Recomendações** Para versões do OpenRefine anteriores à 3.8.3, atualize para a versão 3.8.3 para resolver o problema. Como solução temporária, considere restringir o acesso ao comando `preview-expression` até que a atualização seja aplicada. Além disso, evite usar o comando `preview-expression` com entradas não confiáveis e tenha cuidado ao abrir links de fontes desconhecidas.

**Nome do software vulnerável e versões afetadas** Versões do OpenRefine anteriores à 3.8.3 **Descrição** A página de erro integrada no OpenRefine exibe a mensagem de exceção e o rastreamento da exceção sem escapar as tags HTML, permitindo a injeção de código na página caso um invasor consiga provocar um erro com uma mensagem manipulada por ele. Isso pode ocorrer se um invasor convencer uma vítima a importar um arquivo malicioso. Extensões fora da árvore de código-fonte também podem adicionar suas próprias chamadas para `respondWithErrorPage`, aumentando potencialmente o risco. A vulnerabilidade permite a execução de JavaScript arbitrário no navegador da vítima caso ela importe um projeto malicioso. **Recomendações** Para versões do OpenRefine anteriores à 3.8.3, atualize para a versão 3.8.3 para resolver o problema. Como solução temporária, considere restringir a importação de projetos de fontes não confiáveis para minimizar o risco de exploração. Além disso, as extensões fora da árvore devem ser revisadas quanto a chamadas para `respondWithErrorPage` e atualizadas de acordo para evitar possíveis ataques de injeção.

**Nome do software vulnerável e versões afetadas** Versões do framework Butterfly anteriores à 1.2.6 **Descrição** O framework Butterfly apresenta uma vulnerabilidade relacionada à restrição incorreta do nome do caminho para um diretório com acesso limitado. Isso pode ser explorado por um invasor com acesso à rede da aplicação para obter acesso a arquivos no sistema de arquivos do servidor ou compartilhados por máquinas próximas. Um invasor também pode direcionar ou redirecionar um usuário para uma URL maliciosa pertencente ao aplicativo, fazendo com que um JavaScript arbitrário controlado pelo invasor seja carregado no navegador da vítima. Além disso, se um aplicativo for escrito de forma que um invasor possa influenciar o nome do recurso usado para um modelo, o invasor poderia fazer com que o aplicativo buscasse e executasse um modelo controlado por ele. O método `edu.mit.simile.butterfly. converte um nome de recurso em uma URL. Se o nome do recurso já começar com `file:/`, ele é passado sem modificações, e não há verificação de que a URL resultante esteja dentro do diretório esperado ou na mesma máquina. A implementação padrão para `process` em `ButterflyModuleImpl` é servir um recurso nomeado, tornando-o vulnerável. A biblioteca de modelos Velocity também é vulnerável se os nomes dos recursos de modelo puderem ser manipulados por um invasor. **Recomendações** Para versões anteriores à 1.2.6, atualize para a versão 1.2.6 ou posterior para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao esquema de URL `file:/` a min

**Name of the Vulnerable Software and Affected Versions** OpenRefine versions prior to 3.2 **Description** The issue concerns the data import functionality, which is susceptible to an XML External Entity (XXE) attack. This attack can be initiated through a crafted zip file, enabling attackers to read arbitrary files. **Recommendations** For versions prior to 3.2, update to version 3.2 or later to resolve the issue. As a temporary workaround, consider restricting the use of the data import functionality until a patch is applied. Avoid using the data import feature with untrusted zip files to minimize the risk of exploitation.