Base de CVEs

Plane é uma ferramenta de gestão de projetos de código aberto. Antes da versão 1.4.0, os manifestos deployments/aio/community/ e deployments/cli/community/ fornecem valores padrão fixos e publicamente conhecidos para SECRET_KEY e LIVE_SERVER_SECRET_KEY, que permanecem ativos quando os operadores não os substituem. O script setup.sh de nível superior randomiza os segredos apenas para o caminho de desenvolvimento com Docker Compose, deixando as implantações aio e cli community inalteradas com segredos de produção compartilhados. O conhecimento de SECRET_KEY permite que atacantes forjem valores assinados pelo Django e comprometam contas ou sessões. O conhecimento de LIVE_SERVER_SECRET_KEY permite contornar a autenticação do serviço ao vivo em implantações community inalteradas. Este problema está corrigido na 1.4.0.

O Plane é uma ferramenta de gerenciamento de projetos de código aberto. Antes da 1.4.0, o fluxo de cadastro do Plane cria uma linha de usuário autenticada para qualquer e-mail enviado, sem uma verificação de posse fora da aplicação, enquanto User.email é único (unique=True). O usuário autenticado pode chamar GET /api/users/me/workspaces/invitations/, que retorna cada WorkspaceMemberInvite cujo e-mail corresponde a request.user.email. O WorkSpaceMemberInviteSerializer usa fields = "all", expondo o token que protege o endpoint de entrada no convite. Um atacante não autenticado que conheça o e-mail de um alvo pode registrar uma conta com esse endereço, enumerar convites pendentes e aceitar um convite em nome do alvo, entrando em um workspace no papel convidado. O termo pré-autenticação descreve o estado inicial do atacante: ele não possui credencial antes do cadastro, enquanto as requisições de enumeração e entrada usam a sessão criada por esse cadastro. Este problema está corrigido na 1.4.0.

Plane é uma ferramenta de gerenciamento de projetos de código aberto. Antes da versão 1.4.0, ProjectBulkAssetEndpoint.post em apps/api/plane/app/views/asset/v2.py recupera ativos usando id__in=asset_ids e workspace__slug=slug, mas não restringe a consulta com o project_id da URL. Um Guest do workspace pode fornecer UUIDs de ativos de outro projeto do mesmo workspace e reatribuir seus issue_id, comment_id, page_id, draft_issue_id ou project_id a uma entidade controlada pelo atacante. O Plane então trata o projeto do atacante como novo proprietário e fornece uma URL de download pré-assinada para o arquivo sequestrado. Este problema foi corrigido na versão 1.4.0.

O Plane é uma ferramenta de gerenciamento de projetos de código aberto. Antes da versão 1.4.0, a tarefa de entrega de webhooks em apps/api/plane/bgtasks/webhook_task.py chama requests.post() sem allow_redirects=False e não valida os destinos dos redirecionamentos. A função validate_url() bloqueia endereços privados, de loopback, link-local e reservados na URL original do webhook, mas a URL final alcançada após um ou mais redirecionamentos não é verificada. Um usuário que pode criar um workspace pode registrar um webhook apontando para um endpoint público controlado pelo atacante que responde com um redirecionamento 302 para um endereço interno. O worker do Plane então busca recursos internos, incluindo metadados de nuvem, e armazena o corpo da resposta em webhook_logs, onde o atacante pode recuperá-lo pela API de logs de webhooks do workspace. Este problema está corrigido na 1.4.0.

Improper neutralization of special elements used in an expression language statement ('Expression Language Injection') vulnerability in Apache Struts. If the application is configured to use the legacy RESTful action mapper, a crafted request can inject an OGNL expression that may lead to remote code execution. Struts 7 is affected only when the OGNL allowlist is disabled; it is enabled by default. Applications using the default action mapper, the restful2 mapper, or the Struts REST plugin are not affected. This issue affects Apache Struts: from 2.0.0 through 2.3.37, from 2.5.0 through 2.5.33, from 6.0.0 through 6.11.0, from 7.0.0 through 7.3.0. Users are recommended to upgrade to version 6.12.0 or 7.4.0, which fixes the issue.

Falha de neutralização inadequada de elementos especiais usados em um comando SQL ('Injeção de SQL') na WP BASE WP BASE Booking wp-base-booking-of-appointments-services-and-events permite injeção de SQL cega. Este problema afeta o WP BASE Booking: de versão não especificada (n/a) até 6.4.0.

GouGuOA v6.0.5 and before is vulnerable to SQL Injection in /home/message/rubbish via the keywords parameter.

WookTeam v1.6.6 and before is vulnerable to RCE in the project task export interface /api/project/task/export. The data parameter is base64-decoded and passed directly into the string2array() function in app/Module/Base.php, which executes eval("\$array = $data;") whenever the decoded string starts with array. An attacker can inject arbitrary PHP code into the eval call and achieve RCE.

An issue in dormakaba evolo Service (all versions) allows a remote attacker to execute arbitrary code as SYSTEM via a .NET component.

Joomla Extension - joomlafry.com - Unauthenticated cross-record publication and mass assignment in TF Content 2.9.0 - 2.9.4 - The extension unconditionally authorizes both creation and editing in its public `RecordController`. Its shared frontend save controller accepts the raw `jform` array, assigns the request-selected existing record ID, and saves it without filtering submitted properties through the configured form. A Guest can obtain a valid token from Joomla's public login form and modify any TF Content row, including mass-assigning `published`, `access`, and `created_by`.

Joomla Extension - ordasoft.com - Unauthenticated SQL injection in OrdaSoft Joomla CCK < 8.3.16 - The order column for records was user provided and not properly validated, leading to a SQL injection vector.

Northstar (dromara/northstar, quantitative trading platform) <= 9.1.1 enables the H2 Console but its auth interceptor only covers /northstar/**, so /h2-console is exposed with no authentication and the embedded H2 DB uses default sa / empty password. Any network-reachable attacker can run arbitrary system commands via CREATE ALIAS (pre-auth RCE).

A remote user validation failure vulnerability exists in HPE Integrated Lights-Out (iLO) 7 firmware.

Foi detectada uma vulnerabilidade de segurança no Totolink A3002MU 1.0.0-B20230403.1455. Ela afeta uma função não especificada do arquivo /boafrm/formIpQoS, componente QoS Rule Handler. A manipulação do argumento addQos/comment/entry_name leva a um estouro de buffer baseado em pilha. A exploração remota do ataque é possível. O exploit foi divulgado publicamente e pode ser usado.

A weakness has been identified in Totolink A3002MU 1.0.0-B20230403.1455. The impacted element is the function sub_40FCFC of the file /bin/boa of the component Authentication Check. Executing a manipulation can lead to improper authorization. The attack may be launched remotely. The exploit has been made available to the public and could be used for attacks.

O P4 Search anterior à versão 2026.4.2 não falha de forma segura quando seu token de autenticação de serviço está em branco. Em configurações afetadas, um atacante não autenticado com acesso à rede pode obter o maior privilégio de aplicação, potencialmente levando ao comprometimento do P4 Search e do P4 Server conectado.

Imagens de contêiner do Perforce P4 Search anteriores a 2026.4.2 redefinem o token de autenticação do serviço para um valor padrão publicamente documentado. Um atacante não autenticado com acesso à rede pode obter o maior privilégio de aplicação, potencialmente levando à execução arbitrária de código e ao comprometimento do P4 Server conectado.

Imagens de contêiner do Perforce P4 Search anteriores à 2026.4.2 habilitam uma interface de depuração Java não autenticada. Um atacante com acesso de rede a essa interface pode executar código arbitrário como a conta de serviço do P4 Search, potencialmente levando ao comprometimento do P4 Server conectado.

YAML versions before 1.30 for Perl allow a loaded document to trigger the DESTROY method of arbitrary classes. A perl/hash:Class tag blesses a hash into the class it names. The document supplies the object's fields, and Perl calls DESTROY when it goes out of scope. What DESTROY does depends on the classes the process has loaded. With File::Temp::Dir from core Perl, it can delete a directory tree the document names.

ZITADEL before 3.4.14 and 4.x before 4.16.2 contains an authentication bypass in the hosted Login V1 UI because the 'external account not found' registration endpoint trusts client-supplied external identity fields without a completed IdP callback. Unauthenticated attackers can submit forged IDPConfigID and ExternalUserID values to pre-create an account bound to a victim's external IdP identity, which the victim's later genuine external login then signs into.

ZITADEL 3.x before 3.4.15 and 4.x before 4.17.1 contains an improper authorization vulnerability: when issuing passkey or passwordless enrollment codes, it checks only the organization in the x-zitadel-orgid header, not the target user's organization. Attackers with user-write permission in one organization can obtain an enrollment code for a user in another organization on the same instance and register their own authenticator to take over that account.

O ZITADEL 3.0.0 até 3.4.15 e 4.0.0 antes de 4.17.3 cria vínculos entre contas de usuário e provedores de identidade externos sem verificar um fator primário ou a permissão de quem faz a chamada, inclusive em sessões Login V2 somente de identificação e pelo endpoint AddIDPLink do User Service V2. Um atacante não autenticado que conheça o nome de login de uma vítima pode vincular a identidade do seu próprio IdP externo à conta da vítima e então entrar como a vítima.

Neutralização imprópria de elementos especiais usados em um comando SQL ('SQL Injection') na Unlimited Elements Unlimited Elements For Elementor (Free Widgets, Addons, Templates), identificada como unlimited-elements-for-elementor, permite SQL Injection cego. Este problema afeta Unlimited Elements For Elementor (Free Widgets, Addons, Templates): de n/a até 2.0.20.

Foi identificada uma vulnerabilidade no InternLM MindSearch 0.1.0. Este problema afeta a função ExecutionAction.run do arquivo mindsearch/agent/graph.py do componente Planner Agent. A manipulação do argumento inputs leva a injeção de código. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.

Foi identificada uma falha no Ahsay AhsayCBS até a versão 10.3.2. Esta vulnerabilidade afeta código desconhecido do arquivo /rps/api/json/UpdateReceivers.do do componente Replication Receiver. A manipulação do argumento random pode levar a injeção de comandos do sistema operacional. É possível iniciar o ataque remotamente. O exploit foi publicado e pode ser utilizado. A atualização para a versão 10.3.4 pode resolver este problema. Recomenda-se atualizar o componente afetado.