Base de CVEs

Vulnerabilidade de Controle Impróprio da Geração de Código ('Injeção de Código') no Funnelforms LLC FunnelFormsPro permite Inclusão Remota de Código.Este problema afeta o FunnelFormsPro: de n/a até 3.8.1.

A critical remote code execution vulnerability exists in the unauthenticated REST API endpoint /99/ImportSQLTable in H2O-3 version 3.46.0.9 and prior. The vulnerability arises due to insufficient security controls in the parameter blacklist mechanism, which only targets MySQL JDBC driver-specific dangerous parameters. An attacker can bypass these controls by switching the JDBC URL protocol to jdbc:postgresql: and exploiting PostgreSQL JDBC driver-specific parameters such as socketFactory and socketFactoryArg. This allows unauthenticated attackers to execute arbitrary code on the H2O-3 server with the privileges of the H2O-3 process. The issue is resolved in version 3.46.0.10.

Froxlor é um software open source de administração de servidores. Antes da versão 2.3.6, `PhpHelper::parseArrayToString()` grava valores de string em literais de string PHP delimitados por aspas simples sem escapar as aspas simples. Quando um administrador com a permissão `change_serversettings` adiciona ou atualiza um servidor MySQL via API, o parâmetro `privileged_user` (que não possui validação de entrada) é gravado sem escape em `lib/userdata.inc.php`. Como esse arquivo é carregado com `require` em toda requisição via `Database::getDB()`, um atacante pode injetar código PHP arbitrário que é executado como usuário do servidor web em cada carregamento de página subsequente. A versão 2.3.6 contém uma correção.

Luanti (formerly Minetest) is an open source voxel game-creation platform. Starting in version 5.0.0 and prior to version 5.15.2, a malicious mod can trivially escape the sandboxed Lua environment to execute arbitrary code and gain full filesystem access on the user's device. This applies to the server-side mod, async and mapgen as well as the client-side (CSM) environments. This vulnerability is only exploitable when using LuaJIT. Version 5.15.2 contains a patch. On release versions, one can also patch this issue without recompiling by editing `builtin/init.lua` and adding the line `getfenv = nil` at the end. Note that this will break mods relying on this function (which is not inherently unsafe).

Um atacante pode enviar uma requisição notify que faz com que um novo domínio secundário seja adicionado ao backend bind, mas que também faz esse backend atualizar sua configuração para uma configuração inválida, impedindo-o de executar na próxima reinicialização e exigindo operação manual para corrigi-lo.

O WWBN AVideo é uma plataforma de vídeo de código aberto. Nas versões 29.0 e anteriores, o servidor WebSocket do plugin YPTSocket retransmite corpos de mensagens JSON fornecidos pelo atacante a todos os clientes conectados, sem sanitizar os campos `msg` ou `callback`. No lado do cliente, `plugin/YPTSocket/script.js` contém dois sinks de `eval()` alimentados diretamente por esses campos retransmitidos (`json.msg.autoEvalCodeOnHTML` na linha 568 e `json.callback` na linha 95). Como os tokens são emitidos para visitantes anônimos e nunca revalidados além da descriptografia, um atacante não autenticado pode transmitir JavaScript arbitrário que é executado na origem de todos os usuários conectados no momento (incluindo administradores), resultando em tomada de contas universal, roubo de sessão e execução de ações privilegiadas. O commit c08694bf6264eb4decceb78c711baee2609b4efd contém uma correção.

O Spinnaker é uma plataforma de entrega contínua multi-nuvem, de código aberto. O Echo, como alguns outros serviços, usa SpEL (Spring Expression Language) para processar informações, especialmente em torno de artefatos esperados. Nas versões anteriores a 2026.1.0, 2026.0.1, 2025.4.2 e 2025.3.2, diferentemente do orca, ele NÃO restringia esse contexto a um conjunto de classes confiáveis, permitindo acesso COMPLETO à JVM. Isso possibilitava que um usuário utilizasse classes Java arbitrárias que permitem acesso profundo ao sistema. Isso habilitava a capacidade de invocar comandos, acessar arquivos etc. As versões 2026.1.0, 2026.0.1, 2025.4.2 e 2025.3.2 contêm uma correção. Como solução de contorno, desabilite o echo por completo.

O Vvveb anterior à versão 1.0.8.1 contém uma vulnerabilidade de injeção de código no endpoint de instalação, em que o parâmetro POST subdir é gravado sem sanitização no arquivo de configuração env.php, sem escape ou validação. Atacantes podem injetar código PHP arbitrário ao sair do contexto de string na instrução define, para obter execução remota de código não autenticada como o usuário do servidor web.

O endpoint de reranking do SGLang (/v1/rerank) permite Execução Remota de Código (RCE) quando um arquivo de modelo contendo um tokenizer.chat_template malicioso é carregado, pois os templates de chat Jinja2 são renderizados usando um jinja2.Environment() sem sandbox.

O protobufjs compila definições protobuf em funções JavaScript (JS). Nas versões anteriores a 8.0.1 e 7.5.5, atacantes podem injetar código arbitrário nos campos "type" de definições protobuf, que então é executado durante a decodificação de objetos que usam essa definição. As versões 8.0.1 e 7.5.5 corrigem o problema.

Slah CMS v1.5.0 and below was discovered to contain a remote code execution (RCE) vulnerability in the session() function at config.php. This vulnerability is exploitable via a crafted input.

OpenRemote is an open-source IoT platform. Versions 1.21.0 and below contain two interrelated expression injection vulnerabilities in the rules engine that allow arbitrary code execution on the server. The JavaScript rules engine executes user-supplied scripts via Nashorn's ScriptEngine.eval() without sandboxing, class filtering, or access restrictions, and the authorization check in RulesResourceImpl only restricts Groovy rules to superusers while leaving JavaScript rules unrestricted for any user with the write:rules role. Additionally, the Groovy rules engine has a GroovyDenyAllFilter security filter that is defined but never registered, as the registration code is commented out, rendering the SandboxTransformer ineffective for superuser-created Groovy rules. A non-superuser attacker with the write:rules role can create JavaScript rulesets that execute with full JVM access, enabling remote code execution as root, arbitrary file read, environment variable theft including database credentials, and complete multi-tenant isolation bypass to access data across all realms. This issue has been fixed in version 1.22.0.