PHP Seite 16

In itsourcecode Sales and Inventory System 1.0 wurde eine Schwachstelle in einer unbekannten Funktionalität der Datei /pages/pro_edit.php gefunden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im itsourcecode Sales and Inventory System 1.0 ermöglicht die Manipulation des Arguments ID in der Datei /pages/cust_searchfrm.php eine SQL-Injection. Die Schwachstelle ist laut CVSS-Vektor aus dem Netzwerk mit geringen Rechten und ohne Nutzerinteraktion ausnutzbar. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils in geringem Umfang betroffen. CVSS-Basiswert: 6.3 (Mittel).

In itsourcecode Sales and Inventory System Version 1.0 wurde eine Schwachstelle in der Datei /pages/sup_edit.php gefunden. Weitere technische Details zur Art der Manipulation liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.3 (Mittel). Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

In itsourcecode Sales and Inventory System 1.0 ermöglicht die Manipulation des Arguments ID in der Datei /pages/sup_searchfrm.php eine SQL-Injection. CVSS-Basiswert: 6.3 (Mittel).

In itsourcecode Hospital Management System 1.0 besteht laut Quelle eine unbekannte Schwachstelle in der Datei /viewpaymentreport.php. Details zur genauen Art der Manipulation liegen in den übermittelten Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.3 (Mittel). Eine Massnahmenempfehlung liegt in den Quelldaten nicht vor.

itsourcecode Hospital Management System 1.0 ist über die Datei /vieworder.php verwundbar: Die Manipulation des Arguments delid führt zu SQL Injection; die Quellbeschreibung ist an dieser Stelle abgeschnitten. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Hospital Management System 1.0 wurde laut Quellbeschreibung eine Schwachstelle in einer unbekannten Verarbeitung der Datei /viewdoctor.php identifiziert. Die Manipulation des Arguments delid führt zu einem Fehlverhalten; weitere Details zur genauen Angriffsart liegen in den Quelldaten nicht vollständig vor. CVSS-Basiswert: 6.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

In itsourcecode Hospital Management System 1.0 wurde laut NVD eine Schwachstelle in einer unbekannten Funktion der Datei /viewdoctorconsultancycharge.php identifiziert. Betroffen ist die Manipulation eines Arguments, dessen genaue Bezeichnung in der Quellbeschreibung abgeschnitten ist. CVSS-Basiswert: 6.3 (Mittel). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In itsourcecode Hospital Management System 1.0 wurde eine Schwachstelle in einer unbekannten Funktionalität der Datei /servicetype.php identifiziert. Betroffen ist die Manipulation eines Arguments; die Quellbeschreibung bricht an dieser Stelle ab, weitere Details liegen nicht vor. CVSS-Basiswert: 6.3 (Mittel).

Im itsourcecode Hospital Management System 1.0 besteht in einer Funktion der Datei /prescription.php eine SQL-Injection. Laut Quellbeschreibung führt die Manipulation des Arguments editid zur Einschleusung von SQL-Befehlen. Die Schwachstelle ist über das Netzwerk ausnutzbar und betrifft Vertraulichkeit, Integrität und Verfügbarkeit in geringem Umfang (Vektor AV:N/AC:L/PR:L). CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Hospital Management System 1.0 von itsourcecode betrifft eine Schwachstelle unbekannten Code der Datei /prescriptionorder.php. Die Manipulation des Arguments editid löst die Lücke aus, ein Angriff ist über das Netzwerk mit niedrigen Rechten möglich. CVSS-Basiswert: 6.3 (Mittel), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L. Ein EPSS-Wert liegt in den Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

In FreeScout, einem freien Helpdesk- und Shared-Inbox-System auf Basis des PHP-Frameworks Laravel, erlaubt vor Version 1.8.219 der Open-Tracking-Endpunkt GET /thread/read/{conversation_id}/{thread_id} den Zugriff durch nicht authentifizierte Angreifer. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Rechte ausnutzbar und beeinträchtigt Vertraulichkeit und Integrität in geringem Umfang. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: Aktualisierung auf FreeScout 1.8.219.

In itsourcecode Hospital Management System 1.0 wurde eine Schwäche in einer nicht näher bezeichneten Funktion der Datei /prescriptionrecord.php identifiziert. Die Manipulation des Arguments delid führt zu einer SQL-Injection, die aus dem Netzwerk ausgenutzt werden kann. CVSS-Basiswert: 6.3 (Mittel).

In itsourcecode Electronic Judging System 1.0 wurde eine Schwachstelle in einer nicht näher bezeichneten Funktion der Datei /intrams/admin/add_judges.php festgestellt. Die Lücke lässt sich über eine Manipulation des Arguments fname auslösen. Der Angriff ist laut Quelldaten über das Netzwerk und mit niedrigen Rechten möglich. CVSS-Basiswert: 6.3 (Mittel). Eine konkrete Massnahme ist in den Quelldaten nicht ausgewiesen.

In CodeAstro Simple Online Leave Management System 1.0 betrifft eine Schwachstelle eine unbekannte Funktion der Datei /SimpleOnlineLeave/admin/dashboard.php. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Updates des Herstellers beobachten und nach Verfügbarkeit einspielen.

In BeikeShop von Chengdu Everbrite Network Technology bis Version 1.6.0.22 wurde eine Schwachstelle in einer nicht näher bestimmten Funktion der Datei beike/Admin/Routes/admin.php der Komponente Admin Design Build gefunden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine konkrete Herstellermassnahme liegt in den Quelldaten nicht vor.

Im CodeAstro Ingredients Stock Management System 1.0 betrifft eine Schwachstelle eine nicht näher bestimmte Funktion der Datei /Ingredients-Stock/add_stock.php. Laut Quelldaten lässt sich das Argument ID manipulieren; weitere technische Details sind in der Quellbeschreibung nicht vollständig ausgeführt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:N).

In CodeAstro Leave Management System 1.0 betrifft die Schwachstelle laut NVD eine unbekannte Funktion der Datei /admin/delete_leave_type.php. Die Manipulation des Arguments leave_type führt zu einer SQL-Injection, die sich aus dem Netzwerk mit niedrigen Rechten auslösen lässt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Eingaben serverseitig validieren und parametrisierte Datenbankabfragen verwenden.

Im CodeAstro Leave Management System 1.0 wurde eine Schwachstelle in einer nicht näher bestimmten Funktion der Datei /admin/search_staff_to_assign_pc.php festgestellt. Die Schwachstelle lässt sich über die Manipulation eines Parameters ausnutzen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine konkrete Herstellermassnahme liegt in den Quelldaten nicht vor.

In itsourcecode Hospital Management System 1.0 betrifft die Schwachstelle laut NVD eine unbekannte Funktion der Datei /adminaccount.php. Die Manipulation des Arguments Date führt zu einer SQL-Injection, die sich aus dem Netzwerk mit niedrigen Rechten auslösen lässt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Eingaben serverseitig validieren und parametrisierte Datenbankabfragen verwenden.

Im itsourcecode Hospital Management System 1.0 wurde eine Schwachstelle in einer nicht näher bestimmten Funktion der Datei /addpatient.php gefunden. Durch Manipulation des Arguments admissiontme lässt sich eine SQL-Injection auslösen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine konkrete Herstellermassnahme liegt in den Quelldaten nicht vor.

In CodeAstro Leave Management System 1.0 betrifft eine Schwachstelle eine unbekannte Funktion der Datei /admin/search_staff_for_deletion.php. Die Manipulation des Arguments Name führt zu SQL-Injection. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im CodeAstro Leave Management System 1.0 besteht eine Schwachstelle in einem unbekannten Teil der Datei /admin/add_leave.php. Die Manipulation des Arguments type_of_leave führt zu der Schwachstelle. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In CodeAstro Student Attendance Management System 1.0 besteht eine Schwachstelle in einer unbekannten Funktion der Datei /attendance-php/Admin/createClassArms.php. Durch Manipulation eines Arguments lässt sich die Schwachstelle ausnutzen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 besteht in einer unbekannten Funktion der Datei /manage_student.php eine Schwachstelle. Die Manipulation des Arguments ID führt zu einer SQL-Injection. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 wurde eine Schwachstelle in einer unbekannten Funktion der Datei `/manage_user.php` entdeckt. Die Manipulation des Arguments `ID` ermöglicht SQL-Injection. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 wurde eine Schwachstelle entdeckt. Betroffen ist eine unbekannte Funktionalität der Datei /receipt.php; die Manipulation eines Arguments ermöglicht den Angriff. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 wurde in der Datei /manage_fee.php eine SQL-Injection-Schwachstelle über das Argument „ID” gefunden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 wurde in der Datei /manage_payment.php eine SQL-Injection-Schwachstelle über das Argument „ID” festgestellt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In itsourcecode Fees Management System 1.0 wurde in der Datei /manage_course.php eine SQL-Injection-Schwachstelle über das Argument „ID” festgestellt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In DefaultFuction CRM 1.0.0 ermöglicht eine Manipulation in einer unbekannten Funktion der Datei /modules/customers/delete.php eine SQL-Injection. Betroffen ist das Argument ID. Die Schwachstelle ist laut CVSS-Vektor aus dem Netzwerk mit geringen Rechten und ohne Nutzerinteraktion ausnutzbar; Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils in geringem Umfang betroffen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In CodeAstro Online Catering Ordering System 1.0 ist eine unbekannte Funktion der Datei /deleteorder.php betroffen. Durch Manipulation des Parameters ID lässt sich eine SQL-Injection auslösen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Eingaben serverseitig validieren und parametrisierte Datenbankabfragen verwenden sowie ein Hersteller-Update einspielen, sobald verfügbar.

In PHPGurukul User Registration & Login and User Management System 3.3 besteht eine Schwachstelle in einer unbekannten Funktion der Datei /admin/yesterday-reg-users.php. Durch Manipulation kann die Schwachstelle ausgenutzt werden. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In DefaultFuction CRM 1.0.0 besteht eine Schwachstelle in einer nicht näher spezifizierten Funktion der Datei /modules/orders/edit.php. Die Manipulation des Arguments ID verursacht laut Quelle eine SQL-Injection. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In DefaultFuction CRM 1.0.0 wurde eine Schwachstelle in einer unbekannten Funktion der Datei /modules/orders/delete.php entdeckt. Die Manipulation des Arguments ID führt zu einer SQL-Injection. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Laut NVD wurde in lavkush-maurya Student-Registration-System 1.0 eine Schwachstelle in einer nicht näher benannten Funktion der Datei /student/changepass.php festgestellt; sie lässt sich durch Manipulation eines Arguments auslösen. CVSS-Basiswert: 6.3 (Mittel). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Im Projekt chetans9 core-php-admin-panel (bis Commit 90d07ed5aac5e0f09b6a5828d7bb2eb83010763f) besteht laut NVD eine Schwachstelle bei der Verarbeitung einer Datei unterhalb von /Applications/MAMP/htdocs/core-php-admin-p; die Pfadangabe ist in der Quelle abgeschnitten, weitere Details liegen nicht vor. CVSS-Basiswert: 6.3 (Mittel). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor.

Im CodeAstro Leave Management System 1.0 betrifft eine Schwachstelle eine nicht näher bestimmte Funktionalität der Datei /admin/search_staff_for_updation.php. Laut Quelldaten lässt sich der betroffene Verarbeitungspfad manipulieren; weitere technische Details sind in der Quellbeschreibung nicht vollständig ausgeführt. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Der Angriff ist laut Vektor über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion möglich (AV:N/AC:L/PR:L/UI:N).

Im itsourcecode Construction Management System 1.0 besteht eine Schwachstelle in einer unbekannten Funktion der Datei /borrowed_tool_report.php. Eine Manipulation der Verarbeitung ermöglicht einen Angriff über das Netzwerk. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im itsourcecode Construction Management System 1.0 betrifft eine Schwachstelle einen unbekannten Teil der Datei /borrowed_tool.php der Komponente Parameter Handler. Eine Manipulation der Argumente ermöglicht einen Angriff über das Netzwerk. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In der Datei /borrowedequip.php der Komponente Parameter Handler (itsourcecode, Version 1.0) lässt sich durch Manipulation einer Eingabe eine Schwachstelle auslösen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Pimcore, eine Open-Source-Plattform für Daten- und Experience-Management, enthält vor den Versionen 11.5.17 (LTS) und 12.3.7 eine Schwachstelle im WordExport-Ablauf des TranslationController. Laut CVSS-Vektor ist die Lücke über das Netzwerk durch einen Angreifer mit niedrigen Rechten ausnutzbar und verändert die Sicherheitsgrenzen (Scope), mit begrenzten Auswirkungen auf Vertraulichkeit und Verfügbarkeit. CVSS-Basiswert: 6.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Pimcore 11.5.17 (LTS) beziehungsweise 12.3.7.

Das Evoluted PHP Directory Listing Script bis einschliesslich Version 4.0.5 enthält in index.php eine reflektierte Cross-Site-Scripting-Schwachstelle: Der Wert des Parameters dir wird ohne HTML-Kodierung in die Ausgabe übernommen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren, sobald verfügbar.

In NamelessMC 2.2.4, einer Webseiten-Software für Minecraft-Server, wurde eine Reflected Cross-Site Scripting (XSS)-Schwachstelle im id-Parameter des Endpunkts /index.php?route=/queries entdeckt. CVSS-Basiswert: 4.3 (Mittel).

HAX CMS dient der Verwaltung von Microsite-Umgebungen mit PHP- oder Node.js-Backend. Ab Version 25.0.0 und vor Version 26.0.0 wird das Cookie haxcms_refresh_token ohne das Secure-Flag gesetzt, wodurch es über unverschlüsselte Verbindungen übertragen und abgegriffen werden kann. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf HAX CMS 26.0.0 oder neuer aktualisieren.

Concrete CMS ist vor Version 9.5.2 anfällig für PHP Object Injection: In den Komponenten Workflow, Form-Block und File/Set fehlt bei unserialize()-Aufrufen die Einschränkung allowed_classes, was von einem nicht authentifizierten Angreifer ausgenutzt werden kann. Ein CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Concrete CMS 9.5.2 oder neuer aktualisieren.

Open ISES Tickets vor Version 3.44.2 deaktiviert in incs/functions.inc.php die TLS-Zertifikatsprüfung, indem CURLOPT_SSL_VERIFYPEER auf false gesetzt und CURLOPT_SSL_VERIFYHOST nicht gesetzt wird. Ausgehende Verbindungen sind dadurch nicht gegen Manipulation abgesichert. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Open ISES Tickets vor Version 3.44.2 enthält in add.php eine reflektierte Cross-Site-Scripting-Schwachstelle. Authentifizierte Angreifer können über einen nicht bereinigten Wert beliebiges JavaScript einschleusen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Twig, eine Template-Sprache für PHP, schreibt in den Versionen 3.0.0 bis 3.26.0 über Twig\Profiler\Dumper\HtmlDumper die Werte von Profile::getTemplate() und Profile::getName() ungefiltert in die HTML-Ausgabe. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Open ISES Tickets vor 3.44.2 besteht eine Reflected-Cross-Site-Scripting-Schwachstelle in os_watch.php, über die authentifizierte Angreifer durch einen unbereinigten Wert beliebiges JavaScript einschleusen können. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 3.44.2 oder neuer aktualisieren.