Amonra

**Name of the Vulnerable Software and Affected Versions** Easy Digital Downloads versions prior to 3.7.0 **Description** The Easy Digital Downloads plugin for WordPress contains a Stored Cross-Site Scripting issue caused by insufficient input sanitization and output escaping. This allows unauthenticated attackers to inject arbitrary web scripts through PayPal IPN parameters. These scripts execute automatically when a user visits the affected page. **Recommendations** Update the plugin to a version newer than 3.6.9.

**Name of the Vulnerable Software and Affected Versions** LatePoint – Calendar Booking Plugin for Appointments and Events versions prior to 5.6.4 **Description** An Insecure Direct Object Reference (IDOR) exists in the `LatePointAbilityDeleteBooking::execute` function due to missing validation on a user-controlled key. Attackers with LatePoint Agent-level access or higher can read bookings and customer personally identifiable information (PII), including full names, emails, phone numbers, and notes assigned to other agents. Additionally, they can delete arbitrary bookings by providing any booking ID. This issue is only exploitable if an administrator has enabled the Abilities API toggles `latepoint abilities api`, `latepoint abilities api delete`, and/or `latepoint abilities api edit` in the plugin settings. **Recommendations** Update the plugin to version 5.6.4 or later. Disable the `latepoint abilities api`, `latepoint abilities api delete`, and `latepoint abilities api edit` toggles in the plugin settings as a temporary mitigation.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات، الإصدارات الأقدم من 4.16.4 **الوصف** تسمح عملية التنقية غير الكافية للمدخلات والهروب من المخرجات للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى العامل أو أعلى في GiveWP بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). تحدث المشكلة عند استخدام إعداد قالب Sequoia `twitter message`، مما يسمح بحقن نصوص برمجية ويب عشوائية. يتم تنفيذ هذه النصوص البرمجية عندما ينقر المتبرع على زر «مشاركة على تويتر» في شاشة تأكيد التبرع في Sequoia، حيث يتم تقييم قيمة `twitter message` غير المحمية ضمن قالب JavaScript حرفي. **التوصيات** قم بتحديث المكون الإضافي GiveWP – Donation Plugin ومنصة جمع التبرعات إلى الإصدار 4.16.4 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات، الإصدارات الأقدم من 4.16.1 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات للسمات التي يزودها المستخدم ضمن الرمز المختصر `givewp campaign comments`. وعلى وجه التحديد، تتم معالجة السمة `block id` والسمات الأخرى في الدالتين `CampaignCommentsShortcode::parseAttributes()` و`BlockRenderController::render()`، حيث يتم إدراج قيمة `blockId` مباشرةً في سمة HTML محاطة بعلامتي اقتباس مفردة دون استخدام الدالة `esc attr()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المؤلف أو أعلى بحقن نصوص برمجية ويب تعسفية في الصفحات التي يتم تنفيذها عند وصول مستخدمين آخرين إليها. **التوصيات** قم بتحديث GiveWP – المكون الإضافي للتبرعات ومنصة جمع التبرعات إلى الإصدار 4.16.1 أو أحدث.