0Xbassia

The advanced-customized-prompts WordPress plugin through 1.0.1 does not verify the password before issuing an authenticated session for a supplied email address in an unauthenticated action, allowing unauthenticated attackers to log in as any registered user, including administrators, or to create arbitrary new accounts.

The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not verify a user's password before authenticating them, allowing unauthenticated attackers to log in as any registered user, including administrators, by supplying only that user's email address.

The advanced-customized-prompts WordPress plugin through 1.0.1 does not perform any capability, ownership, or nonce check before saving popup configuration to a product, nor escape the stored values on output, allowing any authenticated user such as a subscriber to store JavaScript that executes in the browser of visitors viewing the affected product.

The advanced-customized-prompts WordPress plugin through 1.0.1 does not perform any capability, ownership, or nonce check before updating WooCommerce order item metadata for a supplied order, allowing any authenticated user such as a subscriber to tamper with the custom metadata of orders belonging to other customers.

The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not perform any authorization or ownership checks before returning WooCommerce order metadata and the URLs of customer-uploaded attachments, allowing unauthenticated attackers to disclose other customers' order and attachment data.

The teddy-bear-customize-addon WordPress plugin through 1.0.5 does not properly validate uploaded files, relying on a client-supplied content type and preserving the original filename, allowing unauthenticated attackers to upload arbitrary PHP files and execute code on the server.

**Nome do Software Vulnerável e Versões Afetadas** Authora : Easy login with mobile number versões anteriores a 1.7.7 **Descrição** O plugin não mantém a confidencialidade do código de login de uso único. Ele retorna o código e um token de verificação válido na resposta de uma ação não autenticada. Isso permite que invasores não autenticados façam login como qualquer usuário, incluindo administradores, desde que conheçam o número de celular registrado, ou criem contas arbitrárias. **Recomendações** Atualize o Authora : Easy login with mobile number para a versão 1.7.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Fediverse Embeds WordPress plugin versões anteriores a 1.5.8 **Description** Um endpoint de informações do site não autenticado não valida o destino de requisições do lado do servidor. Isso permite que usuários anônimos realizem Server-Side Request Forgery (SSRF), uma técnica onde um invasor induz uma aplicação do lado do servidor a fazer requisições para um local não pretendido. Ao utilizar um nonce de controle exposto em páginas públicas, invasores podem forçar o site a solicitar URLs internas e de redes privadas e recuperar os metadados da página analisada. **Recommendations** Atualize o Fediverse Embeds WordPress plugin para a versão 1.5.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Fediverse Embeds WordPress plugin versões anteriores a 1.5.8 **Description** Um endpoint de proxy de mídia não autenticado não valida o destino das requisições do lado do servidor. Isso permite que usuários anônimos forcem o site a buscar URLs arbitrárias, incluindo endereços internos e de redes privadas, e leiam o corpo da resposta. Este problema resulta em um Server-Side Request Forgery (SSRF) de leitura completa, onde o servidor é coagido a fazer requisições para um local não pretendido, e cria um proxy aberto. **Recommendations** Atualize o Fediverse Embeds WordPress plugin para a versão 1.5.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** MagicForm versões anteriores a 0.1.4 **Descrição** O plugin MagicForm para WordPress não valida adequadamente os tipos de arquivos carregados por meio de uma ação AJAX não autenticada. Isso ocorre quando a lista de permissões de extensões por campo de um formulário é deixada vazia, permitindo que invasores não autenticados carreguem arquivos PHP e executem código arbitrário no servidor. **Recomendações** Atualize para uma versão posterior a 0.1.3.

**Nome do Software Vulnerável e Versões Afetadas** Schema & Structured Data for WP & AMP versões anteriores a 1.60 **Description** O plugin não verifica as capacidades do usuário em seus manipuladores de upload de arquivos AJAX no frontend e não valida o conteúdo real dos arquivos carregados em relação ao tipo de mídia pretendido do endpoint. Isso permite que usuários não autenticados façam o upload de qualquer tipo de arquivo aceito pela biblioteca de mídia do WordPress por meio de endpoints que deveriam aceitar apenas imagens ou vídeos. **Recommendations** Atualize para a versão 1.60 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** NocoDB versões anteriores a 2026.04.1 **Descrição** Endpoints de visualização pública compartilhada expõem valores de colunas que o proprietário da visualização havia ocultado por meio de três caminhos independentes. Primeiro, a função `groupBy` retorna valores brutos para qualquer coluna nomeada na solicitação. Segundo, matrizes de filtro e classificação operam em colunas ocultas, permitindo a extração boolean-blind (uma técnica usada para inferir dados observando a resposta da aplicação a consultas verdadeiras ou falsas). Terceiro, a lista de dados relacionados aceita IDs de colunas de link arbitrários de outras tabelas na mesma base. Isso permite que qualquer pessoa com um UUID de visualização compartilhada enumere valores de colunas ocultas, confirme valores de colunas ocultas observando a contagem de linhas ou leia registros de tabelas não relacionadas na mesma base sem autenticação. **Recomendações** Atualizar para a versão 2026.04.1.

**Nome do Software Vulnerável e Versões Afetadas** parse-nested-form-data versões anteriores a 1.0.1 **Description** A função `parseFormData()` processa nomes de campos FormData em notação de colchetes e pontos para objetos aninhados sem filtrar chaves de propriedades reservadas. Um invasor pode usar um nome de campo FormData que comece com ` proto ` ou contenha `. proto .` no meio do caminho para fazer com que o analisador percorra o `Object.prototype` e atribua propriedades a ele. Isso resulta em poluição de protótipo (prototype pollution), onde a cadeia de protótipos de cada objeto simples no processo em execução é contaminada. O problema reside na função `handlePathPart()` em `src/index.ts`, que não rejeita chaves reservadas durante o processamento de segmentos de caminho do tipo objeto. Isso pode levar à corrupção do estado da aplicação, alteração do fluxo de controle ou negação de serviço em aplicações que processam FormData controlado por invasores, como servidores HTTP. **Recommendations** Atualize para a versão 1.0.1. Como medida paliativa temporária, valide os nomes dos campos para garantir que eles não contenham ` proto `, `constructor` ou `prototype` antes de chamar a função `parseFormData()`.

**Nome do Software Vulnerável e Versões Afetadas** form-data-objectizer versões anteriores a 1.0.1 **Descrição** O software não filtra ` proto `, `constructor` ou `prototype` ao converter FormData em objetos usando chaves de formulário com notação de colchetes. Um invasor pode enviar um único campo de formulário HTTP com um nome começando com ` proto [...]` para mutar o `Object.prototype`, resultando em poluição de protótipo (prototype pollution) em todo o processo Node.js. Isso ocorre dentro das funções `treatInitial()` e `treatSecond()` no arquivo `index.cjs`. Este problema pode ser explorado para burlar verificações de segurança, injetar valores de configuração, interromper a renderização de templates ou causar a negação de serviço ao travar o processo do worker. **Recomendações** Atualize para a versão 1.0.1.

**Nome do Software Vulnerável e Versões Afetadas** deepobj versões anteriores a 1.0.3 **Descrição** A poluição de protótipo ocorre quando os caminhos de propriedade contêm ` proto `, `constructor` ou `prototype`. Este problema surge quando os caminhos de propriedade são expostos como entrada do usuário, permitindo que um invasor modifique o protótipo de classes de objetos base. **Recomendações** Atualize para a versão 1.0.3.

**Nome do Software Vulnerável e Versões Afetadas** RVF versões 6.0.0 até 6.0.3 RVF versões 7.0.0 até 7.0.1 **Description** A função `setPath` no `@rvf/set-get` (utilizada pelo `@rvf/core` para achatar dados de formulários recebidos em um objeto aninhado) não bloqueia as chaves ` proto `, `constructor` ou `prototype` ao percorrer um caminho. Como os nomes dos campos nos dados de formulários enviados são passados diretamente para `setPath` via `preprocessFormData` (e através de `parseFormData` ou `validate`), um invasor pode definir propriedades arbitrárias no `Object.prototype` do processo do servidor em execução. Trata-se de uma primitiva de poluição de protótipo (prototype pollution)—uma condição onde um invasor pode manipular o protótipo de objetos base para alterar o comportamento da aplicação—que é acessível por padrão, sem a necessidade de configuração especial. Qualquer endpoint que aceite um formulário via `parseFormData` ou execute um validador criado com `createValidator()` é afetado. Isso pode levar ao bypass de verificações de segurança, injeção de valores de configuração não pretendidos, falhas na renderização de templates ou a interrupção do processo do worker (DoS). **Recommendations** Atualizar as versões 6.0.0 até 6.0.3 do RVF para a versão 6.0.4. Atualizar as versões 7.0.0 até 7.0.1 do RVF para a versão 7.0.2.