Base de CVEs

O Sherlock localiza contas de redes sociais pelo nome de usuário em diversas redes. Antes da 0.16.1, o workflow do GitHub Actions validate_modified_targets.yml é vulnerável a injeção de comando por meio do gatilho pull_request_target. Qualquer usuário do GitHub pode executar comandos arbitrários no runner de CI e exfiltrar o GITHUB_TOKEN ao abrir um pull request. Não são necessárias aprovação, revisão ou merge. Esta vulnerabilidade é corrigida na 0.16.1.

Lumiverse é um aplicativo de chat com IA com muitos recursos. Antes da versão 0.9.7, o pipeline de build de extensões Spindle chama bun install sem a flag --ignore-scripts antes de executar a verificação estática de segurança do backend (assertSafeBackendBundle). Uma extensão maliciosa que inclua um package.json com um script de ciclo de vida preinstall, postinstall ou prepare alcança execução de código no nível do host no momento em que um administrador pressiona Instalar, antes que qualquer arquivo dist seja inspecionado. Esta vulnerabilidade está corrigida na versão 0.9.7.

Twenty é um CRM de código aberto. De 1.7.7 até 1.16.7, existe uma vulnerabilidade crítica de Execução Remota de Código (RCE) no Twenty CRM por meio de uma cadeia de SQL Injection e de um ataque com COPY TO PROGRAM no PostgreSQL. Se o usuário do Postgres for superusuário, qualquer usuário autenticado pode executar comandos arbitrários do sistema operacional no servidor de banco de dados ao injetar SQL pelo parâmetro timeZone não sanitizado no endpoint groupBy da API REST. O campo timeZone dentro do parâmetro de consulta group_by é interpolado diretamente em uma expressão SQL bruta usando template literals do JavaScript, sem qualquer parametrização, validação ou escape. Isso afeta engine/api/graphql/graphql-query-runner/group-by/resolvers/utils/get-group-by-expression.util.ts.

Vowpal Wabbit é um sistema de aprendizado de máquina. O workflow .github/workflows/python_checks.yml incorpora ${{ github.event.pull_request.title }} diretamente dentro de strings bash delimitadas por aspas duplas, em quatro etapas distintas de quatro jobs, passando o valor como argumento de linha de comando ao script de teste em Python run_tests_model_gen_and_load.py. O shell interpreta a string expandida antes de invocar o Python, permitindo que um atacante escape das aspas e execute comandos arbitrários no runner. O gatilho pull_request é disparado para PRs direcionados a qualquer branch (branches: ['*']), sem nenhuma restrição de acesso adicional. Esta vulnerabilidade é corrigida pelo commit 998e390e80a7e8192d7849b7784bc113dbd190ad.

FastNetMon Community Edition through 1.2.9 contains an OS command injection vulnerability in the Juniper router integration plugin. The _log() function in src/juniper_plugin/fastnetmon_juniper.php (lines 117-118) constructs shell commands by concatenating the $msg parameter directly into exec() calls: exec("echo `date` \"- {FASTNETMON] - " . $msg . " \" >> " . $FILE_LOG_TMP). The $msg variable contains unsanitized data derived from command-line arguments argv[1] through argv[3], which represent the attack IP address, direction, and power. While FastNetMon's C++ core currently passes IP addresses via inet_ntoa() (which only produces safe dotted-decimal notation), the PHP script performs no input validation or shell escaping. If the script is invoked directly, by another orchestration system, or if future code changes pass string-sourced IPs, arbitrary commands can be injected. The correct fix is to replace exec() with file_put_contents() or use escapeshellarg() on all parameters.

A flaw was found in the Samba printing subsystem. Samba passes the client-controlled job description string to the command configured with the "print command" setting via the "%J" substitution character without escaping shell meta characters. A remote attacker could exploit this vulnerability by sending a specially crafted print job description that contains unescaped shell characters. This could lead to remote code execution on the affected system.