Unkn0Wn

Nome do Software Vulnerável e Versões Afetadas PHP-Fusion versão 9.03.50 Descrição O software contém uma vulnerabilidade de execução remota de código na função `add panel form()`. Isso permite que atacantes executem código arbitrário por meio do uso da função `eval()` com dados não sanitizados recebidos por meio de solicitações POST. A exploração ocorre ao enviar parâmetros `panel content` elaborados para o endpoint `/panels.php`. O endpoint `/panels.php` é o alvo do ataque. O parâmetro `panel content` é a variável vulnerável utilizada para injetar código malicioso. Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas PHP-Fusion versão 9.03.50 Descrição O aplicativo não sanitariza corretamente a entrada do usuário antes de renderizá-la em um navegador, o que permite que atacantes injetem JavaScript arbitrário. Isso pode ser explorado ao enviar entrada manipulada para o parâmetro POST `panel content` no arquivo ''panels.php'', resultando na execução de scripts maliciosos no contexto do site afetado. Recomendações Atualize para uma versão mais recente que contenha uma correção para esta vulnerabilidade.

O software apresenta uma vulnerabilidade de injeção SQL nos arquivos 'news.php' e 'common/lib.php'. Atacantes podem manipular consultas de banco de dados por meio de entradas de usuário não validadas. Especificamente, o parâmetro 'title' é vulnerável à injeção de código SQL malicioso, o que pode permitir que atacantes extraiam ou modifiquem o conteúdo do banco de dados. Essa vulnerabilidade não envolve cross-site scripting.

O software contém uma vulnerabilidade de cross-site scripting (XSS) no arquivo news.php. Isso permite que atacantes injetem scripts maliciosos através de parâmetros GET. Atacantes podem criar URLs maliciosas com payloads de XSS visando os parâmetros `etsu` e `ltsu` para executar scripts arbitrários nos navegadores das vítimas. Isso não envolve injeção de SQL.