Seawind

يمكن لمستخدم Zabbix يتمتع بحق الوصول إلى واجهة برمجة التطبيقات (API) استغلال ثغرة حقن SQL أعمى في ملف `CApiService.php`. تكمن المشكلة في المعلمة `sortfield`، مما يسمح للمهاجم بتنفيذ أوامر SQL select تعسفية. وعلى الرغم من عدم إرجاع نتائج الاستعلام مباشرةً، إلا أنه يمكن استخراج البيانات باستخدام تقنيات تعتمد على الوقت. وقد يؤدي ذلك إلى الكشف عن معرّفات الجلسات واختراق حسابات المسؤولين. يقع المكون المعرض للخطر في نقطة نهاية واجهة برمجة التطبيقات (API) في include/classes/api/`CApiService.php`. والمعلمة المعرضة للخطر هي `sortfield`.

A vulnerability was found in the system, affecting an unknown functionality of the file /app/action/add staff.php. The manipulation leads to cross site scripting. The attack can be launched remotely.

A critical vulnerability was found in the Admin Panel component of the PHPGurukul Online Shopping Portal, specifically affecting the file /shopping/admin/index.php. The manipulation of the `username` argument leads to SQL injection. The attack can be initiated remotely. The exploit has been disclosed to the public and may be used.