Snaacky

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Description** Um problema de SQL injection existe no gerenciador de tags. Usuários remotos autenticados com privilégios `users mod` podem executar comandos SQL arbitrários enviando uma requisição POST manipulada para o endpoint 'tools.php?action=manage tags' utilizando os parâmetros `tagid` ou `type`. **Recommendations** Atualize o GazellePW (GazellePosterWall) para uma versão que inclua o commit 86c4bedf727691b5a97af42a4864869d18446449 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'tools.php?action=manage tags' ou evite o uso dos parâmetros `tagid` e `type` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Descrição** Existe um problema no endpoint de busca de código de país que permite que usuários autenticados remotamente com privilégios de `users view ips` executem comandos SQL arbitrários. Isso é feito enviando uma requisição manipulada para o endpoint 'tools.php?action=get cc' usando o parâmetro `ip`. SQL injection é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados. **Recomendações** Atualize o GazellePW (GazellePosterWall) para o commit 86c4bedf727691b5a97af42a4864869d18446449 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint 'tools.php?action=get cc' ou evite usar o parâmetro `ip` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Description** Um problema de Cross-Site Scripting (XSS) Armazenado existe no recurso de texto de mouse-over do avatar de doador. Usuários remotos autenticados podem injetar JavaScript arbitrário através do parâmetro `avatar mouse over text`. Este script malicioso é armazenado no servidor e posteriormente executado quando a dica de ferramenta (tooltip) do avatar é renderizada para outros usuários. **Recommendations** Atualize o GazellePW (GazellePosterWall) para o commit 86c4bedf727691b5a97af42a4864869d18446449 ou uma versão mais recente. Como mitigação temporária, restrinja o uso do parâmetro `avatar mouse over text`.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Description** Um problema de Cross-Site Scripting (XSS) Armazenado existe no recurso de título personalizado de remasterização de torrent. Usuários remotos autenticados podem injetar JavaScript arbitrário através do parâmetro `remaster custom title`. Este script é armazenado durante o processo de upload ou edição do torrent e é posteriormente executado quando o título do torrent é renderizado na saída. **Recommendations** Atualize o GazellePW (GazellePosterWall) para o commit 86c4bedf727691b5a97af42a4864869d18446449 ou uma versão mais recente. Como mitigação temporária, restrinja o uso do parâmetro `remaster custom title` durante o upload e a edição de torrents.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Descrição** Um problema de Cross-Site Scripting (XSS) Armazenado existe no recurso de título de bônus personalizado. Isso permite que usuários autenticados remotos injetem JavaScript arbitrário por meio do parâmetro `title` nos endpoints '/bonus.php' e '/user.php?action=staff tool'. O XSS Armazenado ocorre quando uma aplicação recebe dados de um usuário e inclui esses dados em suas respostas HTTP posteriores de maneira insegura. **Recomendações** Atualize o GazellePW (GazellePosterWall) para uma versão que inclua o commit 86c4bedf727691b5a97af42a4864869d18446449 ou posterior. Como mitigação temporária, restrinja o acesso aos endpoints '/bonus.php' e '/user.php?action=staff tool' ou evite usar o parâmetro `title` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) (versões afetadas não especificadas) **Descrição** Um controle de acesso quebrado no endpoint de usuário da API permite que usuários autenticados sem privilégios elevados habilitem ou desabilitem qualquer conta de usuário. Isso é feito enviando uma requisição ao endpoint usando um token de API de usuário comum com o parâmetro `req` definido como `disable` ou `enable`. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** GazellePW (GazellePosterWall) versões anteriores ao commit 86c4bedf727691b5a97af42a4864869d18446449 **Description** Um problema de Cross-Site Scripting (XSS) Armazenado existe no fluxo de exclusão de legendas. Usuários remotos autenticados podem injetar JavaScript arbitrário por meio de um nome de arquivo de legenda especialmente criado. Este script malicioso é armazenado durante o processo de upload e executado posteriormente quando renderizado no endpoint '/subtitles.php?action=delete'. O XSS Armazenado ocorre quando uma aplicação recebe dados de um usuário e inclui esses dados em suas respostas HTTP posteriores de maneira insegura. **Recommendations** Atualize o GazellePW (GazellePosterWall) para o commit 86c4bedf727691b5a97af42a4864869d18446449 ou uma versão mais recente.