Kamran Saifullah

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Onlne Examination & Learning Management System versão 1.0 Syllabus-aligned Learning Management and Examination System versão 1.0 **Description** Uma falha existe no arquivo `import users.php` onde a manipulação do argumento `raw password` com a entrada `CICT 2026` resulta no uso de uma senha codificada (hard-coded). Este problema permite ataques remotos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Barangay Resident Profiling and Information Management System versão 1.0 **Description** Um problema remoto existe no componente Password Reset Handler dentro do arquivo `passsword reset.php`. A manipulação do argumento `new password` com o valor `password123` resulta no uso de uma senha codificada no código (hard-coded). **Recommendations** Atualize o SourceCodester Barangay Resident Profiling and Information Management System versão 1.0 para uma versão que remova a lógica de senha hard-coded. Como medida paliativa temporária, restrinja o acesso ao arquivo `passsword reset.php` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Inventory System versão 1.0 **Description** Uma fraqueza no arquivo `header.php` permite a execução de cross-site scripting (XSS) remotamente, uma técnica onde scripts maliciosos são injetados em sites confiáveis. Este problema envolve uma funcionalidade desconhecida dentro do arquivo e pode afetar múltiplos parâmetros. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Inventory System versão 1.0 **Description** Um problema de autorização inadequada existe no componente Account Creation Handler, no arquivo '/Product Inventory/api/users handler.php'. Um invasor remoto pode manipular o argumento `ROLE` para burlar os controles de autorização. **Recommendations** Atualize o SourceCodester Inventory System para uma versão posterior à 1.0. Como medida paliativa temporária, restrinja o acesso ao endpoint '/Product Inventory/api/users handler.php' ou evite o uso do parâmetro `ROLE` até que uma correção seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** opensourcepos Open Source Point of Sale versões anteriores a 3.4.3 **Descrição** Uma falha no componente Employee Login permite o uso de um hash fraco. O problema está localizado na função `Login()` dentro do arquivo `app/Models/Employee.php`. Esta vulnerabilidade é caracterizada por alta complexidade e dificuldade de exploração. De acordo com o fornecedor, o código legado permanece para suportar caminhos de atualização, onde senhas padrão originadas com a função de hash antiga são migradas para uma nova após o login, e qualquer alteração de senha utiliza a função de hash atual. **Recomendações** Atualize para uma versão posterior a 3.4.2. Como medida paliativa temporária, restrinja o acesso à função `Login()` no arquivo `app/Models/Employee.php` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** opensourcepos Open Source Point of Sale versões anteriores a 3.4.3 **Descrição** Um problema de path traversal existe na função `getPicThumb()` dentro do arquivo `app/Controllers/Items.php`. Isso ocorre devido à manipulação inadequada do argumento `pic filename`, o que permite que um invasor remoto acesse arquivos e diretórios fora da pasta pretendida. **Recomendações** Aplique o patch def0c27a0e252668df8d942fc31e16d1edfd7323 para remediar o problema. Como medida paliativa temporária, restrinja o acesso à função `getPicThumb()` até que o patch seja aplicado.

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Safety Anger Pad versão 1.0 **Descrição** Um problema de cross-site scripting remoto existe devido à manipulação do argumento `angerDisplay` em uma função desconhecida. Cross-site scripting é uma falha que permite que um invasor injete scripts maliciosos em páginas da web visualizadas por outros usuários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** SourceCodester API Key Manager App version 1.0 **Description** A flaw exists within the Import Key Handler component that allows for cross site scripting. This issue can be triggered remotely through manipulation of an unknown functionality. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Nome do Software Vulnerável e Versões Afetadas** SourceCodester Pet Grooming Management Software versão 1.0 **Descrição** Existe uma falha no SourceCodester Pet Grooming Management Software que permite a falsificação de solicitação entre sites (CSRF). Este problema pode ser explorado remotamente. O código vulnerável não foi especificado no momento. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** MantisBT versions prior to 2.21.2 **Description** The issue concerns a stored cross-site scripting (XSS) vulnerability in the Timeline feature of the my view page.php file. This vulnerability allows for the execution of arbitrary code, provided that the Content Security Policy (CSP) settings permit it, after an attachment with a crafted filename is uploaded. The code is executed whenever the My View Page is displayed, affecting any user who has visibility to the issue. **Recommendations** For versions prior to 2.21.2, update to version 2.21.2 or later to resolve the issue. As a temporary workaround, consider restricting access to the Timeline feature in my view page.php until a patch is available. Avoid uploading attachments with potentially crafted filenames to minimize the risk of exploitation.