Yaowenxiao

**Name of the Vulnerable Software and Affected Versions** Dataease SQLBot versions up to 1.5.1 **Description** A flaw exists in Dataease SQLBot that relates to improper cryptographic signature verification. The issue is located within the `validateEmbedded` function in the `backend/apps/system/middleware/auth.py` file, part of the JWT Token Handler component. This allows for manipulation, potentially leading to unauthorized access. The exploit has been publicly disclosed. The complexity of the attack is considered high, and exploitability is difficult. A warning exists in the source code regarding the use of this feature. **Recommendations** Versions prior to 1.5.1 should be updated. As a temporary workaround, consider disabling the `validateEmbedded()` function until a patch is available.

**Name of the Vulnerable Software and Affected Versions** Dataease SQLBot versions up to 1.4.0 **Description** A security issue has been identified in Dataease SQLBot. This issue relates to improper access controls due to manipulation of an unknown function within the file `backend/apps/system/api/assistant.py` of the API Endpoint component. The attack can be launched remotely. Multiple API endpoints are affected. The exploit is publicly available. **Recommendations** Upgrade to version 1.5.0 to resolve this issue.

**Nome do Software Vulnerável e Versões Afetadas** Versões do 1Panel-dev MaxKB até a 1.10.7 **Descrição** Foi identificada uma vulnerabilidade crítica no componente Módulo de Base de Conhecimento, resultando em injeção de CSV. Esta vulnerabilidade pode ser explorada remotamente. A estimativa do número de dispositivos potencialmente afetados em todo o mundo não está disponível. Não há informações sobre incidentes reais onde esta vulnerabilidade foi explorada. **Recomendações** Para versões até a 1.10.7, atualize para a versão 1.10.8 para corrigir este problema. Como medida paliativa temporária, considere restringir o acesso ao Módulo de Base de Conhecimento até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** songquanpeng one-api versões até a 0.6.10 **Descrição** Uma vulnerabilidade foi encontrada no componente System Setting Handler, permitindo cross-site scripting através da manipulação do argumento `Homepage Content`. Este problema pode ser explorado remotamente. O exploit foi divulgado publicamente. **Recomendações** Para as versões do songquanpeng one-api até a 0.6.10, considere desativar o componente System Setting Handler ou restringir o acesso a ele até que um patch esteja disponível. Evite usar o argumento `Homepage Content` em endpoints de API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ConcreteCMS até a 9.3.9 **Descrição** Uma vulnerabilidade problemática foi encontrada no ConcreteCMS, afetando uma funcionalidade desconhecida do componente List Block Handler. A manipulação do argumento `Name/Description` resulta em cross-site scripting. O ataque pode ser executado remotamente. **Recomendações** Para versões até a 9.3.9, atualize para uma versão superior à 9.3.9 para resolver o problema. Como medida temporária, considere restringir a manipulação do argumento `Name/Description` no List Block Handler para minimizar o risco de exploração.