Yaowenxiao

**Nome do Software Vulnerável e Versões Afetadas** Dataease SQLBot versões até 1.5.1 **Descrição** Uma vulnerabilidade existe no Dataease SQLBot relacionada à verificação inadequada de assinatura criptográfica. O problema está localizado na função `validateEmbedded` no arquivo `backend/apps/system/middleware/auth.py`, parte do componente JWT Token Handler. Isso permite manipulação, potencialmente levando a acesso não autorizado. O exploit foi divulgado publicamente. A complexidade do ataque é considerada alta, e a exploração é difícil. Existe um aviso no código-fonte em relação ao uso deste recurso. **Recomendações** Versões anteriores à 1.5.1 devem ser atualizadas. Como solução temporária, considere desativar a função `validateEmbedded()` até que um patch esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Dataease SQLBot até a 1.4.0 **Descrição** Um problema de segurança foi identificado no Dataease SQLBot. Este problema refere-se a controles de acesso inadequados devido à manipulação de uma função desconhecida no arquivo `backend/apps/system/api/assistant.py` do componente API Endpoint. O ataque pode ser lançado remotamente. Múltiplos endpoints de API são afetados. O exploit está disponível publicamente. **Recomendações** Atualize para a versão 1.5.0 para resolver este problema.

**Nome do Software Vulnerável e Versões Afetadas** Versões do 1Panel-dev MaxKB até a 1.10.7 **Descrição** Foi identificada uma vulnerabilidade crítica no componente Módulo de Base de Conhecimento, resultando em injeção de CSV. Esta vulnerabilidade pode ser explorada remotamente. A estimativa do número de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais onde esta vulnerabilidade foi explorada. **Recomendações** Para versões até a 1.10.7, atualize para a versão 1.10.8 para corrigir este problema. Como medida paliativa temporária, considere restringir o acesso ao Módulo de Base de Conhecimento até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** songquanpeng one-api versões até a 0.6.10 **Descrição** Uma vulnerabilidade foi encontrada no componente System Setting Handler, permitindo cross-site scripting através da manipulação do argumento `Homepage Content`. Este problema pode ser explorado remotamente. O exploit foi divulgado publicamente. **Recomendações** Para as versões do songquanpeng one-api até a 0.6.10, considere desativar o componente System Setting Handler ou restringir o acesso a ele até que um patch esteja disponível. Evite usar o argumento `Homepage Content` em endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ConcreteCMS até a 9.3.9 **Descrição** Uma vulnerabilidade problemática foi encontrada no ConcreteCMS, afetando uma funcionalidade desconhecida do componente List Block Handler. A manipulação do argumento `Name/Description` resulta em cross-site scripting. O ataque pode ser executado remotamente. **Recomendações** Para versões até a 9.3.9, atualize para uma versão superior à 9.3.9 para resolver o problema. Como medida temporária, considere restringir a manipulação do argumento `Name/Description` no List Block Handler para minimizar o risco de exploração.