Dexx-Tech

Roundcube Webmail before 1.6.21 and 1.7.x before 1.7.6 contains an IMAP command injection vulnerability that allows attackers to inject commands via CRLF in the uid parameter when messages cache is enabled. Attackers can lure logged-in victims into opening crafted GET links to mail/show or mail/get, executing IMAP commands that delete messages, change flags, or grant mailbox access via SETACL.

يحتوي ملحق Mang Board لـ WordPress على ثغرة Cross-Site Scripting (XSS) منعكسة. يحدث هذا بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات أثناء إنشاء صفحات الويب. يمكن للمهاجم غير المصرح له استغلال ذلك عن طريق حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عندما يتم خداع المستخدم للقيام بإجراء معين، مثل النقر على رابط خبيث.

يمكن لمهاجم غير مصرح له إرسال بيانات متسلسلة مصممة خصيصاً إلى التطبيق، مما يؤدي إلى حقن كائنات PHP (PHP Object Injection). قد تسمح هذه المشكلة بتنفيذ رموز عن بُعد أو التلاعب بالبيانات.

توجد مشكلة في الكشف عن المعلومات في الدالة `OrderConfirmationController::init()`. يمكن للمهاجمين غير المصرح لهم الحصول على مراجع طلبات الضيوف وعناوين البريد الإلكتروني من خلال تقديم قيم `id cart` الخاصة بالضيوف. ومن خلال تكرار قيم `id cart` المتسلسلة وقراءة ترويسة إعادة التوجيه Location، يمكن للمهاجمين عرض تفاصيل الحجز عبر تتبع الضيوف، ومن ثم تحويل ملفات تعريف الضيوف إلى حسابات كاملة باستخدام كلمات مرور يختارها المهاجم.

يوجد خلل في التصريح في إجراء AJAX `AddReview` ضمن وحدة `qlohotelreview`. يسمح هذا للمهاجمين غير المصرح لهم بإرسال تقييمات ومراجعات وهمية لطلبات عشوائية من خلال إعادة استخدام `review ajax token` المكشوف علنًا وتعداد قيم `id order` المتسلسلة لنسب المراجعات إلى عملاء آخرين.

An incorrect authorization issue exists in the endpoint 'htdocs/core/ajax/updateextrafield.php'. The system only verifies read permissions before allowing the modification of extrafield values. Consequently, authenticated users with read-only access can send POST requests using the `objectType`, `objectId`, `field`, and `value` parameters to persistently modify extrafields of viewable third parties, products, members, projects, or contacts.