Naixiao

**Nome do Software Vulnerável e Versões Afetadas** perwendel spark versões anteriores a 2.9.5 **Descrição** Uma falha no componente SparkJava permite que atacantes remotos provoquem o seguimento de links simbólicos (symlink following). Isso ocorre na função `staticFiles.externalLocation` localizada no arquivo `src/main/java/spark/resource/ExternalResourceHandler.jav`. O seguimento de links simbólicos é uma condição em que a aplicação segue um link simbólico para acessar arquivos fora do diretório pretendido. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o uso da função `staticFiles.externalLocation` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** codehub666 94list (versões afetadas não especificadas) **Descrição** Existe uma falha de segurança no codehub666 94list. O problema envolve uma injeção de SQL que impacta a função `Login` dentro do arquivo `/function.php`. Isso permite exploração remota. O exploit foi divulgado publicamente. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** icret EasyImages versões até a 2.8.6 **Descrição** Existe uma falha no icret EasyImages, especificamente no componente SVG Image Handler, afetando o arquivo `/app/upload.php`. A manipulação do argumento `File` pode levar a Cross Site Scripting. Este problema é potencialmente explorável remotamente. **Recomendações** Atualize para uma versão posterior à 2.8.6.

**Nome do Software Vulnerável e Versões Afetadas** Versões do FantasticLBP Hotels Server anteriores a 67b44df162fab26df209bd5d5d542875fcbec1d0 **Descrição** Existe uma falha de segurança no FantasticLBP Hotels Server. O problema envolve uma injeção de SQL que pode ser acionada mediante a manipulação do argumento `subjectId`/`cityName` dentro de uma função desconhecida no arquivo controller/api/hotelList.php. Isso permite a execução de ataques remotamente. O exploit foi divulgado publicamente. **Recomendações** Versões anteriores a 67b44df162fab26df209bd5d5d542875fcbec1d0 devem ser atualizadas. Como medida temporária, restrinja ou evite o uso dos parâmetros `subjectId`/`cityName` no endpoint `/api/hotelList.php`.