Seawind

A Zabbix user with API access can exploit a blind SQL injection in the `CApiService.php` file. The issue resides in the `sortfield` parameter, allowing an attacker to execute arbitrary SQL selects. While query results are not directly returned, data can be exfiltrated using time-based techniques. This could lead to the disclosure of session identifiers and compromise of administrator accounts. The vulnerable component is located at the API endpoint include/classes/api/`CApiService.php`. The vulnerable parameter is `sortfield`.

Foi identificada uma vulnerabilidade no sistema, afetando uma funcionalidade desconhecida do arquivo /app/action/add staff.php. A manipulação leva a um ataque de cross-site scripting. O ataque pode ser executado remotamente.

Foi encontrada uma vulnerabilidade crítica no componente do Painel de Administração do Portal de Compras Online PHPGurukul, afetando especificamente o arquivo /shopping/admin/index.php. A manipulação do argumento `username` leva à injeção de SQL. O ataque pode ser iniciado remotamente. A exploração foi divulgada ao público e pode estar em uso.