Alejandro Ramos

Existe um problema onde a aplicação constrói consultas SQL utilizando interpolação direta de strings via `str.format()` em vez de consultas parametrizadas. Isso permite que o `docname` de um registro de Fornecedor contendo metacaracteres SQL seja interpretado como parte da consulta. Um usuário autenticado com baixos privilégios poderia explorar isso para executar consultas SQL arbitrárias, ignorar as restrições de acesso DocPerm e extrair dados confidenciais, incluindo fragmentos do hash de senha do administrador, credenciais, tokens de integração ou informações financeiras.

The issue allows a remote attacker to bypass authentication in the web interface of the affected systems, enabling them to retrieve the device configuration.

The issue concerns multiple SQL injection vulnerabilities that allow remote attackers to execute arbitrary SQL commands. This can be achieved through various parameters and variables, including the `file id` parameter to "attachment send.php", the `$addy`, `$address`, and `$a address` variables in "email parser.php" and "structs.php" respectively, the `kbid` parameter to "cer KnowledgebaseHandler.class.php", the `queues[]` parameter to "addresses export.php", the `$thread` variable to "display.php", and the `ticket` parameter to "display ticket thread.php".

The issue is related to a cross-site scripting (XSS) vulnerability. This vulnerability allows remote attackers to inject arbitrary web script or HTML via the `kb ask` parameter in the "index.php" file.