Adam Młynarczyk

HortusFox before 6.2 contains a remote code execution vulnerability in ThemeModule::startImport() where an uploaded ZIP archive is extracted directly into the public web root before any validation of file names, extensions, or content is performed. An authenticated administrator can upload a crafted theme archive containing a PHP file and an .htaccess file to re-enable execution, then request it under the themes directory to execute arbitrary OS commands as the web-server user.

**Name of the Vulnerable Software and Affected Versions** HortusFox-Web versions prior to 6.1 **Description** Authenticated administrators can execute arbitrary operating system commands as the web server user by abusing the Import/Export functionality. This feature, designed for data portability, can be leveraged to deploy and execute malicious code on the application server host. **Recommendations** Update to version 6.1 or later.

**Name of the Vulnerable Software and Affected Versions** Cypht versions prior to 2.12.2 **Description** Authenticated attackers can execute arbitrary operating system commands via a PHP object injection. This occurs when a crafted PHP object graph is supplied through the `back query` GET parameter of the logout handler. The application decodes a base64-encoded serialized payload and passes it to the `unserialize()` function without an allow-list, signature check, or type restriction, allowing for gadget-chain exploitation to achieve remote code execution as the web server process. **Recommendations** Update to version 2.12.2 or later. Avoid using the `back query` parameter in the logout handler until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Cypht versions prior to 2.12.2 **Description** A cross-site scripting issue exists in the contacts module. Remote attackers can execute arbitrary script content by embedding malicious payloads within angle brackets in the FROM email header. This occurs because the sanitization logic only removes the first occurrence of each angle bracket character, leaving subsequent brackets intact. An attacker can exploit this by sending a crafted email that executes scripts in the victim's browser when the user opens the message and uses the Add Local Contacts function. **Recommendations** Update to version 2.12.2 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Hi.Events الأقدم من 1.11.0 **الوصف** يؤدي عدم تطبيق إجراءات الرؤية من جانب الخادم إلى السماح للمهاجمين غير المصادق عليهم بشراء تذاكر مخفية. ومن خلال الإشارة إلى معرّفات المنتجات والأسعار المخفية في طلبات إنشاء الطلبات، يمكن للمهاجمين تجاوز عمليات التحقق من الصلاحية. ويتم ذلك عن طريق تعداد معرّفات التذاكر المخفية المتسلسلة استنادًا إلى المعرّفات الظاهرة، للحصول على تذاكر VIP أو تذاكر مخصصة للمدعوين فقط أو تذاكر مخفضة السعر التي تم حجبها عمدًا عن البيع العام. **التوصيات** تحديث Hi.Events إلى الإصدار 1.11.0 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Hi.Events الأقدم من 1.11.0 **الوصف** يمكن للمهاجمين المصادق عليهم الذين يتمتعون بأذونات إنشاء الأحداث أو تعديلها تنفيذ هجوم «البرمجة النصية عبر المواقع» (XSS) عن طريق تضمين عنوان حدث ضار يحتوي على التسلسل `</script>`. ويحدث ذلك لأن دالة `JSON.stringify()` لا تقوم بتحويل التسلسل إلى أحرف آمنة عند تضمينه في علامات البرمجة النصية المضمنة. وهذا يسمح للمهاجم بالخروج من سياق البرنامج النصي داخل كتلة البيانات المنظمة `application/ld+json` أو الحالة المعاد تهيئتها من جانب الخادم، وتنفيذ تعليمات HTML وJavaScript تعسفية في متصفح أي مستخدم يشاهد صفحة الحدث العامة، بما في ذلك الزوار غير المصادق عليهم والمسؤولون. **التوصيات** التحديث إلى الإصدار 1.11.0 أو أحدث.