Hungnqdz

**Nome do Software Vulnerável e Versões Afetadas** OpenSourcePOS versão 3.4.1 **Descrição** O software contém uma vulnerabilidade de Injeção SQL de Segunda Ordem no modo como manipula o campo de configuração `currency symbol`. A entrada é armazenada e posteriormente utilizada em uma consulta SQL construída dinamicamente sem sanitização adequada. Isso permite que um atacante que possa modificar o valor de `currency symbol` injete expressões SQL que são executadas quando a consulta é processada. O campo de configuração vulnerável é `currency symbol`. **Recomendações** Aplicar atualizações para corrigir o tratamento inadequado do campo de configuração `currency symbol`.

**Nome do Software Vulnerável e Versões Afetadas** OpenSourcePOS versão 3.4.1 **Descrição** O aplicativo apresenta uma vulnerabilidade de Local File Inclusion (LFI) na função `Sales.php::getInvoice()`. Um atacante pode potencialmente ler arquivos arbitrários no servidor web ao manipular a configuração do Tipo de Fatura. Essa vulnerabilidade pode ser combinada com a funcionalidade de upload de arquivos para permitir a Execução Remota de Código (RCE). **Recomendações** Aplicar atualizações para resolver a vulnerabilidade na função `Sales.php::getInvoice()`.

**Nome do Software Vulnerável e Versões Afetadas** Monica versão 4.1.2 **Descrição** Existe uma vulnerabilidade de Envenenamento de Cabeçalho Host devido ao tratamento inadequado do cabeçalho HTTP Host no arquivo `app/Providers/AppServiceProvider.php`. Isso é combinado com uma má configuração padrão na qual `app.force url` não está definido, assumindo o valor padrão "false". A aplicação constrói URLs absolutos, incluindo aqueles em e-mails de redefinição de senha, utilizando o cabeçalho Host fornecido pelo usuário. Isso permite que atacantes manipulem o link de redefinição de senha enviado a uma vítima. **Recomendações** Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.