Bigbrother_Man

**Nome do Software Vulnerável e Versões Afetadas** Beijing Shenzhou Shihan Technology Multimedia Integrated Business Display System versão 8.2.2 **Descrição** Uma falha de segurança permite que atacantes remotos realizem SQL injection, uma técnica utilizada para manipular consultas de banco de dados. O problema reside no endpoint `/admin/system/structure/updateStructure/deflate/Insecure/Staffshinel Ds.jsp?Shine ID=aaa` através do parâmetro `Structure ID`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta falha. Evite usar o parâmetro `Structure ID` no endpoint `/admin/system/structure/updateStructure/deflate/Insecure/Staffshinel Ds.jsp?Shine ID=aaa` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** MetaCRM versões anteriores a 6.4.0 Beta06 **Description** Um problema de upload de arquivo irrestrito remotamente existe no endpoint `/business/qnaire/upload.jsp`. Ao manipular o argumento `File`, um invasor pode fazer o upload de arquivos arbitrários para o servidor. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao arquivo `/business/qnaire/upload.jsp` para minimizar o risco de exploração.

A flaw has been found in H3C SecPath F1000-C8300 up to 20260522. This impacts an unknown function of the file /webui/?g=log fw nbc mail jsondata. Executing a manipulation of the argument subject can lead to sql injection. The attack can be executed remotely. The exploit has been published and may be used. The vendor was contacted early about this disclosure and confirmed the existence of the vulnerability. A technical fix is planned to be released.

**Nome do Software Vulnerável e Versões Afetadas** MetaCRM versões anteriores a 6.4.0 Beta06 **Descrição** Um problema existe no componente PHPRPC Remote Call Interface dentro do arquivo `/customizemt/xkq/rpc.jsp`. Um invasor remoto pode realizar uma injeção de SQL ao manipular o argumento `phprpc args` passado para a função `RPCService.query()`. SQL injection é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida de mitigação temporária, restrinja o acesso à função `RPCService.query()` ou ao arquivo `/customizemt/xkq/rpc.jsp`.

**Nome do Software Vulnerável e Versões Afetadas** Hanwang e-Face General Management Platform versão 6.3.5.4 **Description** Um problema de injeção de SQL existe no endpoint `/sysAuthStr/querySysAuthStr.do`. Isso ocorre quando a manipulação da ordem dos argumentos permite que um invasor remoto execute comandos SQL arbitrários. A injeção de SQL é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao endpoint `/sysAuthStr/querySysAuthStr.do` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Ruijie RG-UAC versões anteriores a 1.0-R1.8.2.p5 **Description** Um problema de upload irrestrito remoto existe em uma função desconhecida do arquivo `user auth commit.php`. Ao manipular o argumento `upload image`, um invasor pode realizar o upload de arquivos sem restrições. **Recommendations** Atualize o Ruijie RG-UAC para uma versão posterior a 1.0-R1.8.2.p5. Como mitigação temporária, restrinja o acesso ao arquivo `user auth commit.php` ou evite o uso do argumento `upload image`.

**Nome do Software Vulnerável e Versões Afetadas** Hanwang e-Face General Management Platform versão 6.3.5.4 **Description** Um problema existe no processamento do endpoint '/manage/resourceUpload/upload.do'. Ao manipular o argumento `File`, um invasor remoto pode realizar o upload irrestrito de arquivos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Restrinja o acesso ao endpoint '/manage/resourceUpload/upload.do' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Zhilink ADP Application Developer Platform versão 1.0.0 **Description** Um problema de injeção de Entidade Externa XML (XXE) existe no componente XML Parser. Isso ocorre quando a aplicação processa entradas XML contendo referências a entidades externas, que podem ser manipuladas para fazer com que o sistema exponha arquivos internos ou interaja com redes internas. O problema está localizado no endpoint '/adpweb/a/base/barcodeDetail/import' e pode ser acionado remotamente. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint '/adpweb/a/base/barcodeDetail/import' para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** zhilink ADP Application Developer Platform versão 1.0.0 **Descrição** Um problema de desserialização remota existe no endpoint 'testConnection'. A manipulação do argumento `jdbcUrl` permite este ataque. A desserialização é um processo no qual os dados são convertidos de volta em um objeto, o que pode ser explorado para executar código não autorizado se a entrada não for devidamente validada. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** D-Link DNS-320 versão 1.0.2 **Description** Um problema existe no processamento do endpoint '/web/web file/upload.php'. Um invasor remoto pode realizar uma manipulação do argumento `File` para conseguir o upload irrestrito de arquivos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Das Parking Management System versão 6.2.0 **Description** Uma falha de segurança no endpoint Search API permite a execução de SQL injection remota, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. Isso ocorre através da manipulação do argumento `Value`. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Das Parking Management System versão 6.2.0 **Description** Uma injeção de SQL remota é possível através da manipulação do argumento `Value` dentro da função `xp cmdshell()` do endpoint de API 'ParkingRecord/ExportParkingRecords'. SQL injection é uma técnica onde um invasor insere código SQL malicioso em uma consulta, permitindo a manipulação do banco de dados. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint de API 'ParkingRecord/ExportParkingRecords' ou desative a função `xp cmdshell()` para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Acrel Electrical EEMS Enterprise Power Operation and Maintenance Cloud Platform versão 1.3.0 **Descrição** Um problema de path traversal existe no endpoint '/SubstationWEBV2/app/..;/main/upfile'. Um invasor remoto pode manipular o argumento `path` para acessar arquivos e diretórios fora da pasta pretendida. Path traversal é uma técnica que permite a um invasor ler arquivos arbitrários no servidor usando sequências de caracteres especiais como dot-dot-slash (../). **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Shenzhen Sixun Software Sixun Shanghui Group Business Management System versão 10 **Description** Um problema de injeção de SQL existe no endpoint '/api/Dinner/PayConfig'. Isso ocorre quando o argumento `tableno` é manipulado, permitindo que um invasor remoto execute comandos SQL arbitrários. A injeção de SQL é uma técnica onde um invasor insere código SQL malicioso em uma consulta, potencialmente permitindo a visualização, modificação ou exclusão de dados do banco de dados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Acrel Electrical EEMS Enterprise Power Operation and Maintenance Cloud Platform 3000WEBV2 (versões afetadas não especificadas) **Description** Uma injeção de SQL remota pode ser desencadeada através da manipulação do argumento `sort` no endpoint '/SubstationWEBV2/app/..;/calc/getCalcmeterDetailDayListTree'. SQL injection é uma técnica onde um invasor insere código SQL malicioso em uma consulta, permitindo a manipulação do banco de dados. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Tiandy Easy7 Integrated Management Platform versão 7.17.0 **Description** Um problema existe no componente API Endpoint onde o processamento inadequado do endpoint '/rest/user/updateUserPassword' permite a manipulação remota. Isso pode levar a uma recuperação de senha fraca. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Tiandy Easy7 Integrated Management Platform versão 7.17.0 **Description** Um problema existe no arquivo '/Easy7/apps/WebService/GetDBDataEx.jsp' onde a manipulação do argumento `strTBName` permite a ocorrência de SQL injection, que é uma técnica usada para executar instruções SQL maliciosas que controlam um servidor de banco de dados. Esta falha permite a exploração remota. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Tiandy Easy7 Integrated Management Platform versão 7.17.0 **Descrição** Uma falha de injeção de comando de SO existe no endpoint '/Easy7/rest/systemInfo/updateDbBackupInfo'. Atacantes remotos podem explorar isso manipulando o argumento `week`, permitindo a execução de comandos arbitrários do sistema operacional. **Recomendações** Evite usar o argumento `week` no endpoint '/Easy7/rest/systemInfo/updateDbBackupInfo' até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Acrel Electrical EEMS Enterprise Power Operation and Maintenance Cloud Platform versão 1.3.0 **Descrição** Um problema de upload irrestrito existe no arquivo '/SubstationWEBV2/main/uploadH5Files'. Atacantes remotos podem explorar isso manipulando o argumento `File`. **Recomendações** Restrinja o acesso ao arquivo '/SubstationWEBV2/main/uploadH5Files' para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.