Ananda Dhakal

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in PluginUs.Net MDTF wp-meta-data-filter-and-taxonomy-filter allows Stored XSS.This issue affects MDTF: from n/a through 1.4.0.

Deserialization of Untrusted Data vulnerability in WP SYNTEX Polylang polylang allows Object Injection.This issue affects Polylang: from n/a through 3.8.9.

Deserialization of Untrusted Data vulnerability in Brainstorm Force SureCart surecart allows Object Injection.This issue affects SureCart: from n/a through 4.9.3.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Hossni Mubarak Books Gallery wp-books-gallery allows Stored XSS.This issue affects Books Gallery: from n/a through 4.8.4.

**اسم البرنامج المصاب والإصدارات المتأثرة** IMPress for IDX Broker الإصدارات السابقة لـ 3.3.2 **الوصف** يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة Cross-site Scripting (XSS) مخزنة، وهي حالة يتم فيها تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف ثم يتم تنفيذها لاحقاً في متصفح المستخدم الذي يزور الصفحة المتأثرة. **التوصيات** تحديث IMPress for IDX Broker إلى الإصدار 3.3.2 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Griden Responsive Slider الإصدارات السابقة لـ 0.2.0 **الوصف** يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة Cross-site Scripting (XSS) مخزنة، وهي خلل يتم من خلاله تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف ثم يتم تنفيذها لاحقاً في متصفح المستخدم. **التوصيات** تحديث Griden Responsive Slider إلى إصدار أحدث من 0.1.9.

**اسم البرنامج المصاب والإصدارات المتأثرة** FV Simpler SEO الإصدارات السابقة لـ 1.9.8 **الوصف** يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة Cross-site Scripting (XSS) مخزنة، وهي خلل يتم من خلاله تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف ثم يتم تنفيذها لاحقاً في متصفح مستخدم غير مدرك. **التوصيات** التحديث إلى إصدار أحدث من 1.9.7.

**اسم البرنامج المصاب والإصدارات المتأثرة** Weaver Xtreme Theme Support الإصدارات السابقة لـ 7.0.2 **الوصف** يؤدي عدم تحييد المدخلات بشكل صحيح أثناء إنشاء صفحات الويب إلى إمكانية حدوث ثغرة Cross-site Scripting (XSS) مخزنة، وهي حالة يتم فيها تخزين النصوص البرمجية الخبيثة بشكل دائم على الخادم المستهدف ثم يتم تنفيذها لاحقاً في متصفح المستخدم الذي يزور الصفحة المتأثرة. **التوصيات** تحديث Weaver Xtreme Theme Support إلى الإصدار 7.0.2 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** NOUS Ouvert Utile et Simple Event post الإصدارات السابقة لـ 6.1.1 **الوصف** توجد ثغرة فقدان تفويض في نقطة النهاية 'event-post' تسمح باستغلال مستويات أمان التحكم في الوصول التي تم تكوينها بشكل خاطئ. **التوصيات** تحديث NOUS Ouvert Utile et Simple Event post إلى الإصدار 6.1.1 أو إصدار أحدث.

**اسم البرنامج المصاب والإصدارات المتأثرة** Pixelite Events Manager الإصدارات السابقة لـ 7.4.8 **الوصف** توجد ثغرة حالة سباق (Race Condition) في إضافة events-manager، والتي تحدث عند التنفيذ المتزامن باستخدام مورد مشترك مع مزامنة غير صحيحة. يسمح هذا للمهاجم باستغلال حالات السباق للتلاعب بحالة التطبيق potentially. **التوصيات** تحديث Pixelite Events Manager إلى الإصدار 7.4.8 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** SiteVault – Backup, Restore, Migration & Cloning versions prior to 1.5.20 **Description** An unauthenticated remote code execution issue exists, allowing an attacker to perform code injection. This allows the execution of arbitrary code on the system without requiring prior authentication. **Recommendations** Update SiteVault – Backup, Restore, Migration & Cloning to version 1.5.20 or later.

**Name of the Vulnerable Software and Affected Versions** Slider by 10Web versions prior to 1.2.63 **Description** Deserialization of untrusted data in the slider-wd component allows for Object Injection. This occurs when the application deserializes data from an untrusted source without sufficient validation, potentially allowing an attacker to inject malicious PHP objects into the application state. **Recommendations** Update Slider by 10Web to a version newer than 1.2.62.

**Name of the Vulnerable Software and Affected Versions** WooCommerce versions 9.8.0 through 11.1.2 **Description** An incorrect privilege assignment flaw allows an authenticated user to escalate their privileges, potentially granting a compromised user account full administrator access. **Recommendations** Update WooCommerce to a version later than 11.1.2.

**Name of the Vulnerable Software and Affected Versions** WP Rollback versions prior to 3.1.3 **Description** An issue exists where sensitive information is inserted into sent data, which allows for the retrieval of embedded sensitive data. **Recommendations** Update to a version newer than 3.1.2.

**Name of the Vulnerable Software and Affected Versions** YITH WooCommerce Affiliates versions prior to 3.31.0 **Description** The software contains a deserialization of untrusted data issue that allows Object Injection. Object Injection occurs when untrusted data is used to abuse the logic of an application by injecting malicious objects into the deserialization process. **Recommendations** Update YITH WooCommerce Affiliates to a version newer than 3.31.0.

**Name of the Vulnerable Software and Affected Versions** Tainacan versions prior to 1.3.1 **Description** The software contains a deserialization of untrusted data issue that allows PHP Object Injection. This occurs when the application deserializes data from an untrusted source without sufficient validation, potentially allowing an attacker to inject malicious objects into the application state. **Recommendations** Update Tainacan to a version newer than 1.3.0.

Authentication Bypass by Spoofing vulnerability in WPMU DEV Forminator forminator allows Identity Spoofing.This issue affects Forminator: from n/a through 1.57.2.

Missing Authorization vulnerability in ThemeGrill User Registration user-registration allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects User Registration: from n/a through 5.2.7.

**Name of the Vulnerable Software and Affected Versions** ProfilePress versions prior to 4.17.3 **Description** A missing authorization issue in the `wp-user-avatar` component allows for the exploitation of incorrectly configured access control security levels. **Recommendations** Update to a version newer than 4.17.3.

**Name of the Vulnerable Software and Affected Versions** Salon booking system versions prior to 10.31.6 **Description** The salon-booking-system contains an issue involving improper neutralization of input during web page generation, which allows for Reflected Cross-site Scripting (XSS). Reflected XSS occurs when an application includes untrusted data in a web page without proper validation or encoding, allowing an attacker to execute malicious scripts in the victim's browser. **Recommendations** Update the salon-booking-system to version 10.31.6 or later.