Baikuya

Contributor SQL Injection in Restaurant Menu by MotoPress <= 2.4.10 versions.

**Nome do Software Vulnerável e Versões Afetadas** Groundhogg versões anteriores a 4.6 **Descrição** Um invasor autenticado pode explorar uma falha de SQL Injection no recurso de Representante de Vendas (Sales Representative). SQL Injection é um tipo de vulnerabilidade que permite que um invasor interfira nas consultas que um aplicativo faz ao seu banco de dados. **Recomendações** Atualize o Groundhogg para a versão 4.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.20 **Descrição** Uma falha de injeção de SQL existe no plugin Geo Mashup, que permite que usuários com privilégios de assinante executem comandos SQL não autorizados. **Recomendações** Atualize para a versão 1.13.20 ou posterior.

Subscriber Privilege Escalation in JetFormBuilder <= 3.6.1 versions.

**Nome do Software Vulnerável e Versões Afetadas** Grav versão 1.8.0-beta.29 Login Plugin versões anteriores a 3.8.2 **Descrição** Uma falha de validação no lado do servidor existe na função `Login::register()` do plugin Login. Quando o registro de usuário está habilitado e os campos `groups` ou `access` estão incluídos na configuração de campos permitidos, um usuário não autenticado pode injetar essas variáveis na solicitação de registro. Como a função `Login::validateField()` não valida os parâmetros `groups` e `access`, um invasor pode se registrar com privilégios de `admin.super`. Essa escalada de privilégios pode levar ao acesso total ao painel administrativo e, potencialmente, à execução remota de código (RCE). **Recomendações** Atualize o Login Plugin para a versão 3.8.2 ou posterior. Como medida paliativa temporária, remova `groups` e `access` da lista `user registration.fields` na configuração para evitar que usuários não autenticados injetem níveis de privilégio.