Brunlorenz

**Nome do Software Vulnerável e Versões Afetadas** Forma LMS versões anteriores a 4.1.44 **Description** Um problema de injeção de SQL existe no Multi-User-Selector AJAX Endpoint. Isso ocorre quando o argumento `Name` é manipulado dentro da função `UserselectorAdmController::getDataTask()`, localizada no endpoint '/appCore/ajax.adm server.php?r=adm/userselector/getData'. Esta falha permite que um invasor remoto execute consultas de banco de dados não autorizadas. **Recommendations** Atualize o Forma LMS para uma versão posterior a 4.1.43. Como mitigação temporária, restrinja o acesso ao endpoint '/appCore/ajax.adm server.php?r=adm/userselector/getData' ou evite usar o argumento `Name` dentro do componente Multi-User-Selector.