0Xdeku

**Nome do software vulnerável e versões afetadas** Portal Online Sourcecodester Engineers (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de injeção de SQL no Portal Online Sourcecodester Engineers em PHP, especificamente através do parâmetro `id` na página web “my classmates.php”. Isso permite que um invasor extraia dados confidenciais do servidor web e, potencialmente, execute código remotamente no servidor web remoto. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Portal online Sourcecodester Engineers (versões afetadas não especificadas) **Descrição** Existe uma falha no envio de arquivos que permite que invasores alterem o avatar por meio do arquivo `teacher avatar.php`, localizado em `dashboard teacher.php`. Os arquivos enviados são armazenados no diretório `/admin/uploads/` e ficam acessíveis a todos os usuários. Um invasor pode enviar um webshell PHP contendo `<?php system($ GET[“cmd”]); ?>` e executar comandos no servidor web acessando o arquivo enviado, por exemplo, `/admin/uploads/php-webshell?cmd=id`. Isso permite a execução de comandos com privilégios potencialmente elevados. **Recomendações** Como solução temporária, considere desativar a funcionalidade `teacher avatar.php` até que um patch esteja disponível. Restrinja o acesso ao diretório `/admin/uploads/` para minimizar o risco de exploração. Evite usar o parâmetro `cmd` no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Portal Online Sourcecodester Engineers (versões afetadas não especificadas) **Descrição** Existe uma falha de controle de acesso no Portal Online Sourcecodester Engineers, escrito em PHP, especificamente no diretório nia munoz monitoring system/admin/uploads. Isso permite que um invasor contorne os controles de acesso e acesse todos os arquivos enviados para o servidor web sem a necessidade de autenticação ou autorização. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sourcecodester Online Event Booking and Reservation System (versões afetadas não especificadas) **Descrição** A vulnerabilidade existe devido à falta de medidas para neutralizar elementos especiais, permitindo que um invasor remoto a explore e, potencialmente, divulgue informações protegidas. Uma vulnerabilidade de injeção de HTML está presente no sistema por meio do parâmetro `msg` em “/event-management/index.php”. Essa vulnerabilidade pode ser aproveitada por um invasor para alterar a visibilidade do site. Quando um usuário alvo clicar em um determinado link, será exibido o conteúdo do código HTML escolhido pelo invasor. **Recomendações** Como solução temporária, considere restringir o acesso ao endpoint `/event-management/index.php` até que uma correção esteja disponível. Evite usar o parâmetro `msg` no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Sistema de agendamento e reservas online Sourcecodester (versões afetadas não especificadas) **Descrição** Existe uma vulnerabilidade de Stored Cross Site Scripting (XSS) devido à proteção inadequada da estrutura da página web. Isso permite que um invasor remoto execute comandos JavaScript em nome do usuário do servidor web, podendo levar ao roubo de cookies e outras atividades maliciosas. A vulnerabilidade está especificamente relacionada ao parâmetro `Holiday reason`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.