Baihekuz

**Name of the Vulnerable Software and Affected Versions** technical-laohu mpay versions up to 1.2.4 **Description** A flaw exists in the User Center component of technical-laohu mpay. Manipulation of the `Nickname` argument within an unknown function can lead to cross site scripting. The exploit is publicly available and could be used for attacks. **Recommendations** Versions prior to 1.2.4 should be updated.

**Name of the Vulnerable Software and Affected Versions** technical-laohu mpay versions up to 1.2.4 **Description** A cross-site request forgery condition exists in technical-laohu mpay. Exploitation of this issue involves manipulation of an unknown function and may allow for remote attacks. The exploit is publicly available. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** technical-laohu mpay versions up to 1.2.4 **Description** A security issue exists in the QR Code Image Handler component of technical-laohu mpay. Manipulation of the `codeimg` argument can lead to unrestricted upload. This issue can be exploited remotely. The exploit has been publicly disclosed. **Recommendations** Update technical-laohu mpay to a version later than 1.2.4.

**Nome do Software Vulnerável e Versões Afetadas** Tmall Demo até 20250505 **Descrição** Uma vulnerabilidade crítica foi encontrada no Tmall Demo, afetando a função `uploadCategoryImage` do arquivo `tmall/admin/uploadCategoryImage`. A manipulação do argumento `File` leva ao upload irrestrito. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. **Recomendações** Como solução temporária, considere desabilitar a função `uploadCategoryImage` até que uma correção esteja disponível. Restrinja o acesso ao arquivo `tmall/admin/uploadCategoryImage` para minimizar o risco de exploração. Evite usar o argumento `File` na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Tmall Demo até 20250505 **Descrição** Uma falha crítica foi encontrada no Tmall Demo, afetando a função `uploadProductImage` do arquivo `tmall/admin/uploadProductImage`. A manipulação do argumento `File` leva a um upload irrestrito. Esta falha pode ser explorada remotamente. O exploit foi divulgado publicamente. **Recomendações** Para o Tmall Demo até 20250505, como medida de contorno temporária, considere desativar a função `uploadProductImage` até que uma correção esteja disponível. Restrinja o acesso ao arquivo `tmall/admin/uploadProductImage` para minimizar o risco de exploração. Evite usar o argumento `File` na função afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Name of the Vulnerable Software and Affected Versions** Tmall Demo up to 20250505 **Description** A vulnerability was found in the processing of the file `tmall/admin/account/logout`, which leads to cross-site request forgery. The attack may be initiated remotely. The issue affects some unknown processing, and the exploit has been disclosed to the public. **Recommendations** As a temporary workaround, consider disabling the logout processing endpoint until a fix is available. Restrict access to the `tmall/admin/account/logout` file to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Tmall Demo até 20250505 **Descrição** Uma vulnerabilidade foi encontrada no componente Search Box do Tmall Demo, permitindo cross-site scripting através de ataque remoto. A manipulação de uma função desconhecida leva a esse problema. O fabricante foi contatado sobre esta divulgação, mas não respondeu. O número estimado de dispositivos potencialmente afetados em todo o mundo não está disponível. **Recomendações** Como medida temporária, considere restringir o acesso ao componente Search Box até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Tmall Demo up to 20250505 **Description** A problematic vulnerability was found in the Buy Item Page component of Tmall Demo, allowing for cross-site scripting through the manipulation of the `Detailed Address` argument. This issue can be exploited remotely. The vendor was contacted about this disclosure but did not respond. **Recommendations** For Tmall Demo up to 20250505, as a temporary workaround, consider restricting the use of the `Detailed Address` argument in the Buy Item Page to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** Tmall Demo até 20250505 **Descrição** Foi identificado um problema no componente da Página de Detalhes do Produto do Tmall Demo, afetando alguma funcionalidade desconhecida do arquivo /tmall/admin/. A manipulação do argumento `Product Name`/`Product Title` resulta em Cross-Site Scripting. O ataque pode ser executado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. **Recomendações** Como medida paliativa temporária, considere restringir o uso do argumento `Product Name`/`Product Title` na Página de Detalhes do Produto até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Nome do Software Vulnerável e Versões Afetadas** Tmall Demo até 20250505 **Descrição** Foi encontrada uma vulnerabilidade no Tmall Demo, afetando uma parte desconhecida do arquivo `/tmall/order/pay/` do componente Payment Identifier Handler. A manipulação resulta em valores com aleatoriedade insuficiente. É possível iniciar o ataque remotamente. A complexidade de um ataque é bastante alta e a explorabilidade é difícil. O exploit foi divulgado ao público e pode ser utilizado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.2 **Descrição** Uma vulnerabilidade foi encontrada no MRCMS, classificada como problemática, afetando uma função desconhecida. A manipulação resulta em falsificação de solicitação entre sites (CSRF). É possível lançar o ataque remotamente. O exploit foi divulgado publicamente e pode ser utilizado. Múltiplos endpoints podem estar afetados. **Recomendações** Como medida de contorno temporária, considere restringir o acesso a todos os endpoints da API até que uma correção esteja disponível. Evite utilizar qualquer funcionalidade que possa estar relacionada à função afetada desconhecida até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.2 **Descrição** Uma vulnerabilidade foi identificada no componente da Página de Gerenciamento de Categorias, afetando código desconhecido do arquivo /admin/category/add.do. A manipulação do argumento `Name` resulta em cross-site scripting. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. **Recomendações** Para o MRCMS versão 3.1.2, considere desativar o acesso ao arquivo /admin/category/add.do até que um patch esteja disponível. Como medida de contorno, restrinja a manipulação do argumento `Name` na Página de Gerenciamento de Categorias para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.2 **Descrição** Uma vulnerabilidade foi identificada no processamento do arquivo "/admin/chip/add.do" do componente "Add Fragment Page". Este problema resulta em cross-site scripting e pode ser iniciado remotamente. A manipulação deste arquivo pode permitir que a vulnerabilidade seja explorada. **Recomendações** Para o MRCMS versão 3.1.2, considere restringir o acesso ao endpoint "/admin/chip/add.do" até que um patch esteja disponível. Como medida paliativa temporária, evite utilizar o componente Add Fragment Page para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.2 **Descrição** Foi identificada uma vulnerabilidade no componente da Página de Gerenciamento de Links Externos, afetando uma parte desconhecida do arquivo /admin/link/edit.do. Esta vulnerabilidade resulta em Cross-Site Scripting e pode ser explorada remotamente. O exploit foi divulgado publicamente. **Recomendações** Para o MRCMS versão 3.1.2, considere restringir o acesso ao endpoint /admin/link/edit.do até que um patch esteja disponível. Como medida temporária, evite utilizar o componente da Página de Gerenciamento de Links Externos para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.2 **Descrição** Foi identificado um problema no componente Edit Article Page. A manipulação do argumento `Title` resulta em Cross-Site Scripting (XSS). O ataque pode ser executado remotamente. O exploit foi divulgado publicamente e pode ser utilizado. **Recomendações** Para o MRCMS versão 3.1.2, considere restringir o uso do componente Edit Article Page até que um patch esteja disponível. Como solução temporária, evite utilizar o argumento `Title` no componente afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** MRCMS versão 3.1.3 **Descrição** Uma vulnerabilidade foi identificada no componente de Página de Edição de Grupo, afetando especificamente alguma funcionalidade desconhecida do arquivo /admin/group/edit.do. Este problema resulta em Cross-Site Scripting e pode ser explorado remotamente. **Recomendações** Para a versão 3.1.3 do MRCMS, considere restringir o acesso ao arquivo /admin/group/edit.do até que um patch esteja disponível. Como solução temporária, evite utilizar o componente de Página de Edição de Grupo para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** MRCMS version 3.1.3 ASUS router (affected versions not specified) **Description** A vulnerability has been found that allows for cross-site scripting through the manipulation of the `Username` argument in the file /admin/user/edit.do of the Edit User Page component. The attack can be launched remotely. Additionally, a flaw in ASUS routers, when AiCloud is enabled, can allow hackers to access the network from a distance, potentially leading to spying or network disruption. **Recommendations** For MRCMS version 3.1.3, consider disabling the Edit User Page component or restricting access to the /admin/user/edit.do file until a patch is available. For ASUS routers, disable AiCloud to minimize the risk of exploitation. Avoid using the `Username` argument in the affected API endpoint until the issue is resolved. At the moment, there is no information about a newer version that contains a fix for this vulnerability.