Youran

Existe uma falha no xiweicheng TMS que permite upload de arquivos sem restrições. Isso se deve à manipulação do argumento `filename` dentro da função `Upload` localizada no arquivo src/main/java/com/lhjz/portal/controller/FileController.java. O ataque pode ser iniciado remotamente. O exploit está disponível publicamente.

Uma falha existe no xiweicheng TMS que permite a falsificação de solicitação do lado do servidor. O problema está relacionado à função `Summary` no arquivo `src/main/java/com/lhjz/portal/util/HtmlUtil.java`. A manipulação do argumento `url` pode acionar a falha, possivelmente permitindo ataques remotos. O exploit para este problema foi publicado.

Existe uma falha no bestfeng oa git free até a versão 9.5. O problema está relacionado à manipulação do argumento `writeProp` dentro da função `updateWriteBack` localizada no arquivo yimioa-oa9.5serverc-flowsrcmainjavacomcloudweboacontrollerWorkflowPredefineController.java. Essa manipulação pode levar a uma referência de Entidade Externa XML (XXE). O ataque pode ser executado remotamente e um exploit foi divulgado publicamente.

Existe uma vulnerabilidade de cross-site scripting no pojoin h3blog 1.0. O problema está relacionado à manipulação do argumento `Title` dentro de uma função desconhecida do arquivo '/admin/cms/category/addtitle'. Isso pode ser explorado remotamente. O exploit está disponível publicamente.