Base de CVEs

Uma falha de segurança foi descoberta no code-projects Online Music Site 1.0. Este problema afeta um processamento desconhecido do arquivo /Administrator/PHP/AdminUpdateCategory.php. A manipulação do argumento txtcat resulta em injeção de SQL. O ataque pode ser executado remotamente. O exploit foi divulgado publicamente e pode ser usado em ataques.

Foi identificada uma falha de segurança no Xiaopi Panel até 20260126. Ela afeta uma função desconhecida do arquivo /demo.php do componente WAF Firewall. A manipulação do argumento ID resulta em injeção de SQL. O ataque pode ser lançado remotamente. O exploit foi divulgado publicamente e pode ser usado em ataques. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.

Uma falha de segurança foi descoberta no code-projects Social Networking Site 1.0. Ela afeta uma função desconhecida do arquivo /delete_post.php. Realizar uma manipulação do argumento ID resulta em injeção de SQL. É possível iniciar o ataque remotamente. O exploit foi divulgado publicamente e pode ser usado em ataques.

Foi identificada uma vulnerabilidade no itsourcecode School Management System 1.0. Ela afeta uma função não especificada do arquivo /ramonsys/user/index.php. A manipulação do argumento ID pode levar a uma injeção de SQL. O ataque pode ser realizado remotamente. O exploit foi divulgado publicamente e pode ser utilizado.

Payload é um sistema de gerenciamento de conteúdo (CMS) headless gratuito e de código aberto. Antes da versão 3.73.0, ao consultar campos JSON ou richText, a entrada do usuário era inserida diretamente em SQL sem escape, possibilitando ataques de SQL injection cega. Um atacante não autenticado poderia extrair dados sensíveis (e-mails, tokens de redefinição de senha) e alcançar a tomada completa de contas sem quebrar senhas. Esta vulnerabilidade está corrigida na versão 3.73.0.

Foi identificada uma vulnerabilidade no code-projects Simple Blood Donor Management System 1.0. Afetada por esta vulnerabilidade está uma funcionalidade desconhecida do arquivo /simpleblooddonor/editcampaignform.php. A realização de uma manipulação do argumento ID resulta em injeção de SQL. É possível iniciar o ataque remotamente. O exploit foi tornado público e pode ser utilizado.

Foi identificada uma vulnerabilidade no SourceCodester Medical Center Portal Management System 1.0. Uma função desconhecida do arquivo /emp_edit1.php é afetada. A manipulação do argumento ID leva a injeção de SQL. O ataque pode ser realizado remotamente. O exploit foi divulgado publicamente e pode ser utilizado.

Foi identificada uma falha em mathurvishal CloudClassroom-PHP-Project até 5dadec098bfbbf3300d60c3494db3fb95b66e7be. Ela afeta uma função não especificada do arquivo /postquerypublic.php do componente Post Query Details Page. A manipulação do argumento gnamex causa injeção de SQL. O ataque pode ser realizado remotamente. O exploit foi publicado e pode ser utilizado. Este produto adota uma estratégia de liberação contínua (rolling release) para manter a entrega contínua. Portanto, não é possível especificar detalhes de versão para as versões afetadas ou atualizadas. O fornecedor foi contatado antecipadamente sobre esta divulgação, mas não respondeu de nenhuma forma.

O html5_snmp 1.11 contém múltiplas vulnerabilidades de injeção de SQL que permitem que atacantes manipulem consultas ao banco de dados por meio dos parâmetros Router_ID e Router_IP. Atacantes podem explorar técnicas de injeção baseadas em erro, baseadas em tempo e baseadas em UNION para potencialmente extrair ou modificar informações do banco de dados, enviando cargas maliciosas elaboradas.

Foi detectada uma vulnerabilidade no SourceCodester Medical Center Portal Management System 1.0. Ela afeta uma função não identificada do arquivo /login.php. A manipulação do argumento User resulta em injeção de SQL. O ataque pode ser executado remotamente. O exploit agora é público e pode ser utilizado.