Weining Xiao

A weakness has been identified in itsourcecode Online Medicine Delivery System 1.0. Affected by this vulnerability is the function doupdateimage of the file /customer/controller.php?action=photos of the component Customer Controller. Executing a manipulation of the argument photo can lead to unrestricted upload. The attack may be performed from remote. The exploit has been made available to the public and could be used for attacks.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Uma injeção de SQL remota existe no componente Wishlist. O problema ocorre na função `addwishlist()` localizada no endpoint `/customer/controller.php?action=addwish` ao processar a variável `proid`. SQL injection é uma técnica onde um invasor insere código SQL malicioso em uma consulta, permitindo potencialmente o acesso não autorizado ou a manipulação do banco de dados. **Recommendations** Como medida paliativa temporária, evite usar o parâmetro `proid` no endpoint `/customer/controller.php?action=addwish` até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

A security vulnerability has been detected in itsourcecode Online Medicine Delivery System 1.0. Affected by this issue is the function Order::pupdate of the file /rider/orders/controller.php?action=edit&actions=confirm of the component Order Status Update. The manipulation of the argument ID leads to sql injection. It is possible to initiate the attack remotely. The exploit has been disclosed publicly and may be used.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Uma injeção de SQL remota é possível através da função `loadResultList()` no endpoint `/index.php?q=single-item` do componente Product Detail Page. Isso ocorre quando a variável `ID` é manipulada, permitindo que um invasor execute consultas de banco de dados não autorizadas. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint `/index.php?q=single-item` ou evite o uso do parâmetro `ID` até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Uma falha de injeção de SQL existe no componente Login Interface dentro do arquivo `/rider/login.php`. O problema ocorre na função `Employee::employeeAuthentication()` ao processar a variável `emp email`, permitindo que um invasor remoto manipule consultas ao banco de dados. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint `/rider/login.php` ou evite o uso do parâmetro `emp email` até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Um problema existe na Interface de Login do Cliente dentro do arquivo `/login.php`. A função `Customer::cusAuthentication()` é suscetível a SQL injection, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. Isso ocorre através da manipulação do argumento `U USERNAME` e pode ser iniciado remotamente. **Recommendations** Atualize o itsourcecode Online Medicine Delivery System versão 1.0 para uma versão corrigida. Como medida paliativa temporária, restrinja o acesso ao endpoint `/login.php` ou evite usar o parâmetro `U USERNAME` até que uma correção seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Um problema existe no componente Product Search Interface dentro do arquivo `/index.php?q=product`. Um invasor remoto pode realizar a manipulação da variável `Search` na função `loadResultList()`, resultando em uma injeção de SQL. SQL injection é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados. **Recommendations** Como medida paliativa temporária, restrinja o acesso à função `loadResultList()` no arquivo `/index.php?q=product` ou evite usar o parâmetro `Search` até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Description** Uma falha na Interface de Filtro de Categoria de Produtos permite que atacantes remotos realizem SQL injection. Isso ocorre por meio da manipulação do argumento `Category` dentro da função `loadResultList()` do endpoint '/index.php?q=product'. SQL injection é uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução, permitindo potencialmente o acesso não autorizado ao banco de dados. **Recommendations** Como medida paliativa temporária, restrinja o acesso ao endpoint '/index.php?q=product' ou evite usar o argumento `Category` até que uma correção seja aplicada. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** itsourcecode Online Medicine Delivery System versão 1.0 **Descrição** Um problema existe no componente Password Recovery Interface dentro do arquivo `/passwordrecover.php`. A função `Customer::find phone()` não processa adequadamente o argumento `phonenumber`, permitindo a ocorrência de SQL injection remotamente. SQL injection é uma técnica onde um invasor insere código SQL malicioso em uma consulta, potencialmente permitindo a manipulação do banco de dados. **Recomendações** Atualize o itsourcecode Online Medicine Delivery System versão 1.0 para uma versão corrigida. Como medida de mitigação temporária, restrinja o acesso ao arquivo `/passwordrecover.php` ou evite o uso do argumento `phonenumber` até que uma correção seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Simple Laundry System versão 1.0 **Description** Ocorre cross site scripting (XSS) no componente Parameter Handler dentro do arquivo `/modstaffinfo.php`. Um invasor remoto pode disparar este problema ao manipular o argumento `userid`. Cross site scripting é uma técnica onde scripts maliciosos são injetados em sites confiáveis. **Recommendations** Como medida paliativa temporária, evite usar o parâmetro `userid` no arquivo `/modstaffinfo.php` até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Simple Laundry System versão 1.0 **Description** Um problema existe no componente Gestor de Parâmetros dentro do arquivo `/modifymember.php`. A manipulação remota do argumento `firstName` permite a injeção de SQL, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. **Recommendations** Atualize o Simple Laundry System versão 1.0 para uma versão corrigida. Como medida de mitigação temporária, restrinja o acesso ao arquivo `/modifymember.php`.

Name of the Vulnerable Software and Affected Versions Simple Laundry System versão 1.0 Description Uma falha foi encontrada no arquivo /modifymember.php dentro do componente Parameter Handler, permitindo scripting entre sites através da manipulação do argumento `firstName`. Este ataque pode ser iniciado remotamente. O exploit foi publicado. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Simple Laundry System versão 1.0 **Description** Um problema existe no componente Parameter Handler dentro do endpoint '/modmemberinfo.php'. Um invasor remoto pode realizar cross-site scripting (XSS)—uma técnica usada para injetar scripts maliciosos em páginas web visualizadas por outros usuários—ao manipular o argumento `userid`. **Recommendations** Como medida paliativa temporária, evite usar o argumento `userid` no endpoint '/modmemberinfo.php' até que uma correção esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** D-Link DIR-513 versão 1.0 **Descrição** Existe uma falha crítica no componente Manipulador de Solicitação HTTP POST, especificamente dentro da função `formLanguageChange` do arquivo `/goform/formLanguageChange`. A manipulação do argumento `curTime` pode levar a um estouro de buffer baseado em pilha, potencialmente permitindo exploração remota. O exploit para esta falha foi divulgado publicamente. Esta vulnerabilidade afeta produtos que não são mais suportados pelo mantenedor. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.