Dwmm

**Nome do Software Vulnerável e Versões Afetadas** DevaslanPHP project-management versões 1.2.1 até 1.2.4 DevaslanPHP project-management versão 2.0.0-beta1 **Descrição** Uma injeção de SQL remota é possível no componente Timesheet Dashboard. O problema reside na função `whereRaw()` localizada no arquivo `app/Filament/Widgets/Timesheet/ActivitiesReport.php`, onde a manipulação do argumento `filter` permite a execução de comandos SQL arbitrários. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao componente Timesheet Dashboard para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** DevaslanPHP project-management versões 1.2.1 até 1.2.4 DevaslanPHP project-management versão v2.0.0-beta1 **Descrição** Uma injeção de SQL remota existe no componente Timesheet Dashboard, dentro da função `whereRaw()` do arquivo `app/Filament/Widgets/Timesheet/MonthlyReport.php`. Este problema ocorre quando o argumento `filter` é manipulado, permitindo que um invasor execute comandos SQL não autorizados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Como medida paliativa temporária, restrinja o acesso ao componente Timesheet Dashboard para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** DevaslanPHP project-management versões 1.2.1 até 1.2.4 DevaslanPHP project-management versão v2.0.0-beta1 **Description** No componente Jira Import, a função `updateJiraProjects()` no arquivo `/jira-import` é suscetível a server-side request forgery (SSRF), uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. Isso pode ser acionado remotamente através da manipulação dos argumentos `host`, `username` ou `token`. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao arquivo `/jira-import` ou desative a função `updateJiraProjects()` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Yot CMS versões anteriores a 3.3.2 **Description** Uma injeção de SQL remota existe no componente Cookie Handler. O problema ocorre na função `Login()` localizada no arquivo global.php ao processar os argumentos `yot3 user` e `yot3 pass`. SQL injection é uma técnica onde um invasor insere código SQL malicioso em uma consulta, permitindo a manipulação do banco de dados. **Recommendations** Atualize o Yot CMS para a versão 3.3.2 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `Login()` no arquivo global.php.

A security vulnerability has been detected in Yot CMS up to 3.3.1. Affected by this issue is the function eval of the file modsys/console/admin.php of the component Admin Console. Such manipulation of the argument text leads to code injection. It is possible to launch the attack remotely. The exploit has been disclosed publicly and may be used.