Naklehzeidan21

**Name of the Vulnerable Software and Affected Versions** Horilla versions prior to 1.3.1 **Description** Horilla is a free and open source Human Resource Management System (HRMS). An authenticated Remote Code Execution (RCE) issue exists due to the unsafe use of Python’s `eval()` function on a user-controlled query parameter in the `project bulk archive` view. This allows privileged users, such as administrators, to execute arbitrary system commands on the server. Exploitation is possible even when Django’s DEBUG mode is set to False, by using blind payloads like a reverse shell, resulting in full remote code execution. **Recommendations** Update to version 1.3.1 or later.

**Nome do Software Vulnerável e Versões Afetadas** Horilla versão 1.3.0 **Descrição** O Horilla é um Sistema de Gestão de Recursos Humanos (HRMS). Usuários não autenticados podem acessar arquivos de currículo enviados ao adivinhar ou prever diretamente as URLs dos arquivos. Esses arquivos são armazenados em um diretório publicamente acessível, potencialmente expondo informações sensíveis dos candidatos sem autenticação. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Horilla HRM versão 1.3.0 **Descrição** O Horilla é um Sistema de Gestão de Recursos Humanos (HRMS) gratuito e de código aberto. Uma vulnerabilidade de cross-site scripting (XSS) armazenado no Horilla HRM versão 1.3.0 permite que administradores autenticados ou usuários privilegiados injetem payloads JavaScript maliciosos em múltiplos campos dentro dos módulos de Projeto e Tarefa. Esses payloads são armazenados no banco de dados e executados quando visualizados por um administrador ou outros usuários privilegiados através da interface web. A vulnerabilidade não é explorável por usuários não autenticados, mas representa um risco de sequestro de sessão e ações não autorizadas em contas com privilégios elevados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Versões do Phproject de 1.8.0 a 1.8.2 Descrição: O Phproject é um sistema de gerenciamento de projetos completo e de alto desempenho. Existe uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado no campo Planned Hours ao criar um novo projeto. Um payload malicioso pode ser elaborado e incluído no parâmetro `planned hours` em uma requisição POST para o endpoint da API `/issues/new/`. O servidor reflete a entrada diretamente no HTML da página de criação do projeto, resultando na execução do script malicioso. Recomendações: Atualize para a versão 1.8.3 ou superior do Phproject.

Nome do Software Vulnerável e Versões Afetadas: Versões do Part-DB anteriores à 1.17.3 Descrição: O Part-DB é um sistema de gerenciamento de inventário de código aberto para componentes eletrônicos. Antes da versão 1.17.3, qualquer usuário autenticado poderia fazer upload de uma foto de perfil com uma extensão de arquivo enganosa (por exemplo, `.jpg.txt`), resultando em um Erro 500 Internal Server Error persistente ao tentar visualizar ou editar o perfil desse usuário. Isso torna o perfil permanentemente inacessível via interface do usuário para ambos, usuários e administradores, configurando uma Negação de Serviço (DoS) dentro da interface de gerenciamento de usuários. Recomendações: Atualize o Part-DB para a versão 1.17.3 ou posterior.