CVE-2025-50455

Nome do Software Vulnerável e Versões Afetadas Alex Tselegidis EasyAppointments versões anteriores a 1.5.2

Descrição Um problema de injeção de SQL existe no endpoint '/customers/search' através do parâmetro order by. A falha ocorre porque a entrada do usuário não sanitizada é passada para a função order by() do CodeIgniter Query Builder. Isso permite que atacantes realizem a enumeração de esquemas e consultas baseadas em tempo. Em configurações específicas do MySQL, isso pode levar à execução remota de código através da escrita de um shell PHP usando o comando INTO OUTFILE.

Recomendações Atualize o Alex Tselegidis EasyAppointments para uma versão posterior à 1.5.1. Evite usar o parâmetro order by no endpoint '/customers/search' até que o software seja atualizado.