Allan Njuguna

A path traversal issue exists in the `path.join` function within the `/src/main/core/createParsedTrack.ts` file. This flaw allows a local attacker to manipulate file paths to access unauthorized locations on the system.

A remote SQL injection is possible due to improper handling of the `conn settings` argument within the `setSync()` function of the '/ajax/add project.php' endpoint. SQL injection is a technique where an attacker inserts malicious SQL code into a query, allowing them to manipulate the database.

يوجد عيب في حقن التعليمات البرمجية داخل مكون Python Validation Handler، ويؤثر بشكل خاص على دالة غير معروفة في ملف `/code`. تسمح هذه المشكلة بالاستغلال عن بُعد، مما يمكّن المهاجم من حقن وتنفيذ تعليمات برمجية عشوائية.

يوجد ثغرة أمنية في برنامج pmTicket Project-Management-Software تتعلق بفك تسلسل البيانات. تكمن المشكلة في الدالة `loadLanguage` الموجودة داخل الملف `classes/class.database.php`، وهو جزء من مكون Cookie Handler. قد يؤدي التلاعب بالمعلمة `user id` إلى إحداث عملية فك التسلسل هذه. يمكن تنفيذ الهجوم عن بُعد. الاستغلال متاح للجمهور. يستخدم البرنامج نموذج التسليم المستمر مع إصدارات متتالية (rolling releases)، ولم يرد المزود على محاولات الإبلاغ المسبق.

توجد مشكلة خطيرة في برنامج pmTicket Project-Management-Software. الدالة `getUserLanguage` الموجودة في الملف `classes/class.database.php` معرضة لحقن SQL بسبب التلاعب بالمعلمة `user id`. وهذا يسمح بالاستغلال عن بُعد. تم الاتصال بالمورد بشأن هذا الإفصاح، لكنه لم يرد.

A critical issue affects an unknown functionality of the file /goform/goform get cmd process of the component SMS Check. The manipulation of the `order by` argument leads to SQL injection. This issue can be exploited remotely. The vendor was contacted about this disclosure but did not respond.

A critical issue has been identified, affecting the Ping Tool component, specifically the /goform/goform get cmd process file. The `url` argument is vulnerable to os command injection, which can be exploited remotely. The issue has been publicly disclosed.