Vulnerabilidades do Claudiopizzillo PIAF-HMS

O PIAF-HMS (PBX-In-A-Flash Hotel Management System), de claudiopizzillo, que não possui versões lançadas e cujo commit mais recente é o 389d2633441b65ced1c104212cd62be2bfca21e5, contém múltiplas vulnerabilidades de injeção de SQL sem autenticação. A aplicação não tem mecanismo de autenticação e repassa parâmetros HTTP fornecidos pelo usuário diretamente para chamadas obsoletas a mysql_query por meio de concatenação de strings, sem sanitização, escape ou parametrização.