Huu1J

**Name of the Vulnerable Software and Affected Versions** liweiyi ChestnutCMS versions up to 1.5.8 **Description** A flaw exists in the `resourceDownload` function located in the `/dev-api/common/download` file. Manipulation of the `path` argument can result in path traversal, allowing for remote exploitation. The exploit for this issue has been made public. **Recommendations** versions prior to 1.5.9

**Nome do Software Vulnerável e Versões Afetadas** Versões do CSZ-CMS anteriores à 1.3.1 **Descrição** Existe uma vulnerabilidade de injeção de SQL na funcionalidade de visualização do Form Builder. A vulnerabilidade está localizada no parâmetro `field` do recurso de visualização de formulários, permitindo que administradores autenticados executem consultas SQL arbitrárias. **Recomendações** Atualize o CSZ-CMS para uma versão superior à 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** givanz Vvveb versões até 1.0.7.3 **Descrição** Existe uma vulnerabilidade no givanz Vvveb relacionada a path traversal. Este problema afeta a função `sanitizeFileName` no arquivo `system/functions.php` do componente Code Editor. A manipulação do argumento `File` pode resultar em acesso não autorizado. O ataque pode ser iniciado remotamente e um exploit está publicamente disponível. **Recomendações** Aplique o patch b0fa7ff74a3539c6d37000db152caad572e4c39b para resolver este problema.

**Nome do Software Vulnerável e Versões Afetadas** givanz Vvveb versões até 1.0.7.3 **Descrição** Existe uma falha no givanz Vvveb que permite injeção de SQL. Este problema está relacionado à função `Import` dentro do arquivo `admin/controller/tools/import.php` do componente Raw SQL Handler. O ataque pode ser iniciado remotamente. O exploit foi divulgado publicamente. **Recomendações** Aplique o patch 52204b4a106b2fb02d16eee06a88a1f2697f9b35 para resolver este problema.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Emlog até a 2.5.22 (inclusive) **Descrição** Existe uma vulnerabilidade de Cross-Site Scripting (XSS) no Emlog, potencialmente permitindo que atacantes remotos autenticados injetem scripts web ou HTML arbitrários. Isso é possível por meio da funcionalidade de upload de arquivos, especificamente através do upload de arquivos .svg maliciosos contendo código JavaScript que é então executado. O problema foi corrigido no commit 052f9c4226b2c0014bcd857fec47677340b185b1. **Recomendações** Atualize para uma versão superior à 2.5.22.