Cl0Ney

**Nome do Software Vulnerável e Versões Afetadas** zsadmin2025 ZS-Admin versões até b52e14536d59fda11e56e2536a1c32e82a38cead **Descrição** Uma injeção de SQL remota é possível devido ao manuseio inadequado do argumento `orderField`. O problema reside na função `OrderItem.asc/OrderItem.desc` do componente `com.zs.sys.dept.controller.SysDeptController`, especificamente no endpoint '/api/system/sys/dept/page'. **Recomendações** Como medida paliativa temporária, evite usar o parâmetro `orderField` no endpoint '/api/system/sys/dept/page' até que uma correção seja lançada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** zsadmin2025 ZS-Admin versões até b52e14536d59fda11e56e2536a1c32e82a38cead **Descrição** Existe uma falha de bypass de autorização no componente MyBatis-Plus Tenant Plugin. Um invasor remoto pode manipular o argumento `X-Tenant-Id` dentro da função `getTenantId()` do endpoint '/api/system/sys/dept/page' para ignorar os controles de autorização. **Recomendações** Como medida paliativa temporária, restrinja o acesso ao endpoint '/api/system/sys/dept/page' ou evite o uso do argumento `X-Tenant-Id` até que uma correção seja lançada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

A security flaw has been discovered in zsadmin2025 ZS-Admin up to b52e14536d59fda11e56e2536a1c32e82a38cead. This impacts an unknown function of the file /api/system/file/upload of the component com.zs.file.controller.SysFileController. Performing a manipulation of the argument File results in unrestricted upload. It is possible to initiate the attack remotely. The exploit has been released to the public and may be used for attacks. This product is using a rolling release to provide continious delivery. Therefore, no version details for affected nor updated releases are available. The project was informed of the problem early through an issue report but has not responded yet.