Candidats · Candidats · CVE-2022-25228
**Nome do software vulnerável e versões afetadas**
CandidATS versão 3.0.0 Beta
**Descrição**
A vulnerabilidade permite que um usuário autenticado injete consultas SQL por meio de pontos de extremidade específicos da API, incluindo '/index.php? m=settings&a=show' através do parâmetro `userID`, ‘/index.php?m=candidates&a=show’ através do parâmetro `candidateID`, ‘/index.php?m=joborders&a=show’ através do parâmetro `jobOrderID` e ‘/index.php?m=companies&a=show’ através do parâmetro `companyID`.
**Recomendações**
Como solução temporária, considere restringir o acesso aos pontos de extremidade da API vulneráveis ‘/index.php?m=settings&a=show’, ‘/index.php?m=candidates&a=show’, ‘/index.php?m=joborders&a=show’ e ‘/index.php?m=companies&a=show’ até que uma correção esteja disponível. Evite usar os parâmetros `userID`, `candidateID`, `jobOrderID` e `companyID` nos pontos de extremidade da API afetados até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.