Haftoe

**Nome do Software Vulnerável e Versões Afetadas** AVideo versões anteriores a 29.1 **Description** Uma injeção de SQL não autenticada existe no plugin User Location. Os endpoints 'regions.json.php' e 'cities.json.php' não escapam ou vinculam adequadamente os parâmetros GET `country` e `region` antes de utilizá-los em consultas SQL. Isso permite que atacantes realizem uma injeção de SQL baseada em UNION, uma técnica usada para combinar os resultados da consulta original com resultados de uma consulta injetada, para recuperar informações arbitrárias do banco de dados, como hashes de senhas e outros dados sensíveis. **Recommendations** Atualize o AVideo para uma versão posterior a 29.0. Restrinja o acesso aos endpoints 'regions.json.php' e 'cities.json.php' no plugin User Location para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Grav versões 1.7.0 até 2.0.8 **Descrição** Usuários autenticados com permissões de criação ou atualização em diretórios baseados em Flex, como Flex Users, Flex Pages, Flex Objects ou tipos Flex personalizados, podem executar comandos de shell arbitrários no servidor. O problema ocorre porque a função `FlexDirectory::dynamicDataField()` resolve diretivas `data-*@:` de blueprint usando `call user func array()` em entradas influenciadas pelo usuário. Embora o sistema verifique se o alvo é chamável via `is callable()`, ele não restringe funções perigosas como `exec`, `system`, `passthru` ou `shell exec`. Este comportamento ignora validações implementadas anteriormente em `Blueprint::dynamicData()`. **Recomendações** Atualize o Grav para a versão 2.0.9 ou posterior.