Vtim

Nome do Software Vulnerável e Versões Afetadas: Orca HCM da LEARNING DIGITAL (versões afetadas não especificadas) Descrição: A falha permite que atacantes remotos com privilégios comuns façam upload e executem web shells devido a uma vulnerabilidade de Upload Arbitrário de Arquivos. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: Orca HCM da Learning Digital (versões afetadas não especificadas) Descrição: A falha permite que atacantes com privilégios regulares injetem comandos SQL arbitrários, permitindo-lhes ler, modificar e excluir o conteúdo do banco de dados. Esta é uma vulnerabilidade de Injeção de SQL. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** DreamMaker da Interinfo (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que invasores remotos não autenticados enviem arquivos arbitrários para qualquer diretório, levando à execução de código arbitrário por meio do envio de webshells. Isso se deve a uma vulnerabilidade de traversal de caminho e à falta de restrições quanto aos tipos de arquivos enviados. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** CHANGING Mobile (versões afetadas não especificadas) **Descrição** O problema diz respeito à funcionalidade de senha de uso único (OTP) do aplicativo móvel, que não filtra adequadamente os parâmetros do recurso de download de arquivos. Isso permite que invasores remotos com privilégios de administrador leiam arquivos arbitrários no sistema. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** ITPison OMICARD EDM (versões afetadas não especificadas) **Descrição** A vulnerabilidade permite que invasores remotos não autenticados modifiquem parâmetros específicos de URL, possibilitando-lhes realizar ataques de falsificação de solicitação do lado do servidor (SSRF). Isso permite que os invasores sondem informações da rede interna. Não há menção a um número estimado de dispositivos potencialmente afetados nem a incidentes reais. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** ITPison OMICARD EDM (affected versions not specified) **Description** The issue is related to a path traversal vulnerability within the `FileName` parameter in a specific function. This vulnerability can be exploited by an unauthenticated remote attacker to bypass authentication and download arbitrary system files. The vulnerability is associated with incorrect restriction of the directory path name with limited access when processing the `FileName` parameter. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability. As a temporary workaround, consider restricting access to the vulnerable function that processes the `FileName` parameter to minimize the risk of exploitation. Avoid using the `FileName` parameter in the affected function until the issue is resolved.

**Name of the Vulnerable Software and Affected Versions** ITPison OMICARD EDM (affected versions not specified) **Description** The SMS-related function in ITPison OMICARD EDM has insufficient validation for user input, allowing an unauthenticated remote attacker to inject arbitrary SQL commands. This can enable the attacker to access, modify, and delete database data. The vulnerability is related to the lack of protection for the SQL query structure, which can be exploited by a remote attacker to execute arbitrary SQL code and gain read, modify, or delete access to data. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** ITPison OMICARD EDM (affected versions not specified) **Description** The file uploading function in ITPison OMICARD EDM does not restrict the upload of files with dangerous types. An unauthenticated remote attacker can exploit this issue to upload and run arbitrary executable files, allowing them to perform arbitrary system commands or disrupt service. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** MAIL2000 versions 6.0 and 7.0 **Description** The issue allows for the execution of arbitrary code via the `ACTION` parameter in the "/cgi-bin/go" page without requiring authentication. This can be executed for any user accessing the page. It is reported to affect many mail systems of governments, organizations, companies, and universities. **Recommendations** For MAIL2000 versions 6.0 and 7.0, consider restricting access to the "/cgi-bin/go" page until a fix is available, and avoid using the `ACTION` parameter in this endpoint to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** MAIL2000 versions 6.0 and 7.0 **Description** The issue is related to a cross-site scripting (XSS) vulnerability in the login feature of the "/cgi-bin/portal" endpoint, allowing the execution of arbitrary code via any parameter. This affects many mail systems of governments, organizations, companies, and universities. **Recommendations** For MAIL2000 versions 6.0 and 7.0, as a temporary workaround, consider restricting access to the "/cgi-bin/portal" endpoint until a patch is available. Avoid using any parameters in this endpoint to minimize the risk of exploitation. At the moment, there is no information about a newer version that contains a fix for this vulnerability.