Joelister

**Nome do software vulnerável e versões afetadas: MyBB versão 1.8.20 Descrição: A vulnerabilidade permite que invasores remotos injetem scripts da Web ou HTML arbitrários através do campo `Description` na página “Adicionar novo fórum”. Isso pode ser feito por meio de uma solicitação HTTP POST autenticada para “/Upload/admin/index.php?module=forum-management&action=add”. Recomendações: Para a versão 1.8.20 do MyBB, como solução temporária, considere restringir o acesso à página “Adicionar novo fórum” e ao endpoint `/Upload/admin/index.php?module=forum-management&action=add` até que uma correção esteja disponível. Evite usar o campo `Descrição` na página afetada até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: MyBB versão 1.8.20 Descrição: A vulnerabilidade permite que invasores remotos injetem scripts da Web ou HTML arbitrários através do campo `Título` na página “Adicionar novo fórum”. Isso pode ser feito por meio de uma solicitação HTTP POST autenticada para ‘/Upload/admin/index.php?module=forum-management&action=add’. Recomendações: Para a versão 1.8.20 do MyBB, como solução temporária, considere restringir o acesso ao campo “Título” na página “Adicionar novo fórum” até que uma correção esteja disponível. Evite usar o campo `Título` no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: qdPM versão 9.1 Descrição: Existe uma vulnerabilidade de Cross Site Scripting (XSS) no campo “Heading” (Título), localizado na página de login, no menu “General” (Geral). Essa vulnerabilidade pode ser explorada por meio de um nome de site malicioso, realizando uma solicitação HTTP POST autenticada para “/qdPM 9.1/index.php/configuration”. Recomendações: Para o qdPM versão 9.1, como solução temporária, considere restringir o acesso ao campo “Heading” na página de login até que uma correção esteja disponível. Evite usar nomes de sites criados especificamente para esse fim no campo “Heading” para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Rukovoditel versão 2.4.1 Descrição: Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no campo Texto de direitos autorais, localizado na página Aplicação, no menu Configuração. Isso permite que invasores remotos injetem scripts da web ou HTML arbitrários por meio de um nome de site malicioso, enviando uma solicitação HTTP POST autenticada para “/rukovoditel 2.4.1/index.php?module=configuration/save&redirect to=configuration/application”. Recomendações: Para o Rukovoditel versão 2.4.1, considere desativar o campo Texto de direitos autorais na página Aplicação, no menu Configuração, até que uma correção esteja disponível. Restrinja o acesso ao endpoint `/rukovoditel 2.4.1/index.php?module=configuration/save&redirect to=configuration/application` para minimizar o risco de exploração. Evite usar nomes de sites criados de forma maliciosa que possam injetar scripts da web ou HTML arbitrários. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

**Nome do software vulnerável e versões afetadas: Hucart CMS versão 5.7.4 Descrição: O problema está relacionado a uma vulnerabilidade de injeção de SQL. Ela foi encontrada no campo de informações básicas, especificamente no campo `usd image` do avatar. Recomendações: Para o Hucart CMS versão 5.7.4, considere restringir o acesso ao campo `usd image` na seção do avatar para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Hucart CMS versão 5.7.4 Descrição: O problema está relacionado a uma vulnerabilidade de injeção de SQL. Ela pode ser explorada por meio do campo de consulta de compra encontrado no campo Message con content. Recomendações: Para o Hucart CMS versão 5.7.4, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: Rukovoditel versão 2.4.1 Descrição: Existe uma vulnerabilidade de cross-site scripting (XSS) armazenada no campo “Nome do aplicativo” da página “Configuração Geral”, permitindo que invasores remotos injetem scripts web ou HTML arbitrários por meio de um nome de site malicioso, enviando uma solicitação HTTP POST autenticada para o endpoint `/install/index.php`. A variável `name` está vulnerável à injeção, permitindo que invasores executem scripts maliciosos. Recomendações: Para o Rukovoditel versão 2.4.1, como solução temporária, considere restringir o acesso à página Configuração Geral até que uma correção esteja disponível. Evite usar o endpoint `/install/index.php` com nomes de sites criados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas: BigTree-CMS versão 4.4.3 Descrição: Existe uma vulnerabilidade de Cross Site Scripting (XSS) no campo de nome da tag localizado na página Tags, no menu Geral. Essa vulnerabilidade pode ser explorada por meio de um nome de site malicioso, realizando uma solicitação HTTP POST autenticada para o endpoint “admin/tags/create”. Recomendações: Para o BigTree-CMS versão 4.4.3, como solução temporária, considere restringir o acesso ao campo de nome de tag na página Tags até que uma correção esteja disponível. Evite usar o campo de nome de tag no endpoint afetado “admin/tags/create” até que a vulnerabilidade seja resolvida. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Cacti versão 1.2.13 **Descrição** Existe uma vulnerabilidade de script entre sites (XSS) devido à codificação inadequada de mensagens de erro durante a visualização da importação de modelos no campo `xml path`. Isso ocorre no arquivo templates import.php. **Recomendações** Para a versão 1.2.13 do Cacti, considere desativar o recurso de visualização da importação de modelos até que um patch esteja disponível para impedir a exploração da vulnerabilidade XSS. Restrinja o acesso ao arquivo templates import.php para minimizar o risco de exploração. Evite usar o campo `xml path` na visualização da importação de modelos até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.